II SA/Wa 1884/24

II SA/Wa 1884/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-04-14
orzeczenie nieprawomocne
Data wpływu
2024-11-19
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski /sprawozdawca/
Iwona Maciejuk /przewodniczący/
Karolina Kisielewicz-Sierakowska
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargi
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk, Sędzia WSA Karolina Kisielewicz-Sierakowska, Asesor WSA Arkadiusz Koziarski (spr.), , Protokolant referent Magdalena Morawiec, po rozpoznaniu na rozprawie w dniu 14 kwietnia 2025 r. sprawy ze skarg Biura Informacji Kredytowej S.A. z siedzibą w [...] oraz [...] S. A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] września 2024 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 poz. 572, z późn. zm.), dalej "k.p.a.", w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. b i c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi K. P., dalej "skarżąca" lub "uczestnik postępowania", na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S. A. z siedzibą w [...], dalej "Bank", polegające na przetwarzaniu danych osobowych skarżącej w zakresie wynikającym z zapytania kredytowego z dnia [...] października
2019 r. niezakończonego udzieleniem kredytu bez podstawy prawnej, w tym w [...] S. A. z siedzibą w [...], dalej "[...]":
1. udzieli Bankowi, upomnienia za naruszenia art. 6 ust. 1 RODO, polegające na przetwarzaniu bez podstawy prawnej danych osobowych skarżącej, wynikających z zapytania kredytowego z dnia [...] października 2019 r., które nie zakończyło się zawarciem umowy kredytowej, w okresie od dnia [...] lutego 2020 r. do dnia [...] marca 2023 r.;
2. nakazał [...], usunięcie danych osobowych skarżącej, wynikających z zapytania kredytowego z dnia [...] października 2019 r. niezakończonego udzieleniem kredytu, przekazanych przez Bank.
W uzasadnieniu organ wyjaśnił, że do Urzędu wpłynęła skarga skarżącej, na nieprawidłowości w procesie przetwarzania jej danych osobowych Bank, polegające na przetwarzaniu danych osobowych w zakresie zapytania kredytowego z dnia [...] października 2019 r., niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym w [...].
PUODO wskazał, że ustalił następujący stan faktyczny:
1. W skardze skarżąca wskazała, że w dniu [...] października 2019 r. złożyła poprzez stronę Allegro wniosek o przyznanie jej przez Bank karty kredytowej w celu zakupu określonego towaru. Skarżąca wyjaśniła, że po przeczytaniu umowy zmieniła zdanie i do zawarcia umowy ostatecznie nie doszło. W związku ze złożonym wnioskiem Bank wysłał zapytanie kredytowe do bazy [...]. W dniu [...] lutego 2020 r. skarżąca zwróciła się do Banku z wnioskiem o usunięcie jej danych osobowych z [...] wynikających z zapytania kredytowego z dnia [...] października 2019 r. niezakończonego udzieleniem kredytu. W skierowanej do skarżącej odpowiedzi z dnia [...] lutego 2020 r. Bank odmówił spełnienia wniosku powołując się na przepisy ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. 2022 r. poz. 2324). W związku z tym, skarżąca złożyła skargę do PUODO wnosząc o nakazanie Bankowi usunięcia ww. zapytania kredytowego;
2. W złożonych wyjaśnieniach Bank wskazał, że pozyskał dane osobowe skarżącej w związku z wnioskiem kredytowym z dnia [...] października 2019 r. w zakresie: imię, nazwisko, nr PESEL, rodzaj, seria i numer dokumentu tożsamości, nazwisko rodowe matki, stan cywilny, adres zamieszkania i korespondencyjny, numer telefonu, adres email, dane finansowe (informacje o wnioskowanym kredycie oraz informacje o wysokości dochodu i rodzaju wykonywanej pracy, w tym stanowisko oraz numer NIP pracodawcy). W złożonych wyjaśnieniach Bank wskazał, że podstawą prawną przetwarzania danych osobowych skarżącej, podanych we wniosku kredytowym z dnia [...] października 2019 r., jest art. 6 ust. 1 lit. b i c RODO. Bank podał, że dane skarżącej podane na wniosku kredytowym przetwarza na podstawie art. 6 ust. 1 lit. b RODO w celu zawarcia i wykonania umowy kredytowej ze skarżącą, a przetwarzanie na podstawie lit. c wynika z obowiązków prawnych spoczywających na Banku, a dotyczących konieczności oceny zdolności kredytowej skarżącej (tj. art. 5 ust. 1 pkt. 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust.4 w zw. z art. 105 ust. 1 pkt. 1c);
3. Bank wyjaśnił również, że dane osobowe skarżącej pozyskane w ramach wniosku kredytowego z [...] października 2019 r. są aktualnie przetwarzane przez Bank na podstawie art. 6 ust. 1 lit. c RODO, tj. z uwagi na konieczność spełniania przez Bank wymogów cyt. "1) (...) uwzględnienia możliwości dochodzenia przez Skarżącą od Banku ewentualnych roszczeń związanych z przedmiotem niniejszego postępowania, tj. na podstawie art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny, w zw. z art. 82 RODO oraz związanej z tym konieczności umożliwienia Bankowi obrony przed ewentualnymi roszczeniami (w związku z art. 6 ust. 1 lit. f) RODO), 2) koniecznością zapewnienia Prezesowi Urzędu Ochrony Danych Osobowych dostępu do informacji niezbędnych do przeprowadzenia postępowania w niniejszej sprawie, w związku z art. 58 ust. 1 lit. e) RODO, 3) zabezpieczenia udziału Banku w ewentualnych postępowaniach sądowoadministracyjnych prowadzonych w następstwie decyzji wydanej przez Prezesa Urzędu Ochrony Danych Osobowych w przedmiotowym postępowaniu, na podstawie art. 7 ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych w związku z art. 3 § 2 pkt 1) ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (dalej jako "ppsa"), w związku z art. 13 § 2 ppsa, w zw. z art. 53 § 1 ppsa, w zw. z art. 54 § 1 ppsa.";
4. Bank wyjaśnił nadto, że "Bank aktualnie nie przetwarza danych osobowych Skarżącej dot. zapytania kredytowego zrealizowanego przez Bank w [...] S.A. w ramach procesowania wniosku kredytowego z [...].10.2019 r. Zapytanie to zostało usunięte z zasobów Banku [...] marca 2023 r. W związku z powyższym brak jest możliwości wskazania zakresu danych osobowych skarżącej, jakie przed jego usunięciem były przetwarzane przez Bank w ramach zapytania kredytowego zrealizowanego w [...] S.A. w związku z procesowaniem wniosku kredytowego z [...] października 2019 r. Pomocniczo można wskazać, że z reguły tego typu zapytania zawierają w sobie dane osobowe takie jak: dane identyfikacyjne (obywatelstwo, numer PESEL, rodzaj, seria i numer dokumentu tożsamości, imię, nazwisko, płeć, data urodzenia), dane adresowe (adres zamieszkania: kod kraju zamieszkania, kod pocztowy, miejscowość, ulica) oraz dane socjo- demograficzne (m.in. powód złożenia zapytania, liczba wnioskodawców, waluta wniosku, relacja Skarżącego/Skarżącej do wniosku, typ transakcji, kwota kredytu).";
5. W złożonych wyjaśnieniach [...] wskazał, że obecnie przetwarza dane osobowe skarżącej wynikające z zapytania kredytowego z dnia [...] października 2019 r. w zakresie: imię, nazwisko, PESEL, seria i numer dowodu osobistego, data urodzenia, płeć, obywatelstwo, adres zamieszkania oraz dane z wniosku kredytowego dotyczącego wnioskowanego zobowiązania: powód złożenia zapytania, relacja klienta do rachunku, typ transakcji, kwota kredytu, liczba uczestników transakcji. [...] wskazał, że ww. dane dotyczące ww. zapytania kredytowego zostały przekazane do [...] przez Bank na podstawie art. 105 ust. 4 ustawy Prawo bankowe, art. 105a ust. 1 ustawy Prawo bankowe oraz na podstawie łączącej Bank i [...] umowy;
6. [...] wskazał, że obecnie przetwarza dane osobowe skarżącej w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania. [...] wskazał, że procesem silnie powiązanym z oceną zdolności kredytowej jest analiza ryzyka kredytowego, która przeprowadzana jest zgodnie z wytycznymi Rekomendacji T KNF. [...] wskazał nadto, że ogólne zasady tworzenia modeli służących celom oceny zdolności kredytowej i analizy ryzyka kredytowego określa m. in. rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zwane dalej "CRR" oraz rekomendacje KNF. [...] wskazał również, że ww. dane skarżącej będzie przetwarzał również: w celach statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli przez okres nie dłuższy niż 10 lat; w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia zgodnie z art. 118 Kodeksu cywilnego wynosi 6 lat; oraz z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji.
Dalej organ wskazał, że [...] jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy Prawo bankowe. Organ przytoczył treść art. 105 ust. 4 pkt 1-4 Prawa bankowego.
PUODO wyjaśnił, że zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2022r., poz. 246, zwana dalej "u.k.k."), a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106- 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. Prawa bankowego Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania.
PUODO podał, że zgodnie z art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie.
Organ podniósł, że skarżąca w dniu [...] października 2019 r. wystąpiła do Banku z wnioskiem o przyznanie karty kredytowej. Następnie Bank przekazał pozyskane we wniosku kredytowym dane osobowe skarżącej do [...] w ramach zapytania kredytowego dotyczącego skarżącej. W związku z powyższym Bank oraz [...], na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych skarżącej w celu oceny zdolności kredytowej. Organ podkreślił, że nie doszło do zawarcia umowy pożyczki pomiędzy skarżącą a Bankiem, skarżąca zrezygnowała z ubiegania się o kredyt, a w dniu [...] lutego 2020 r. zwróciła się do Banku z wnioskiem o usunięcie jej danych osobowych w zakresie ww. zapytania kredytowego z [...]. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych skarżącej przez Bank oraz [...]. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a skarżącą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych skarżącej.
PUODO podkreślił, że celem przetwarzania danych osobowych skarżącej była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego, ww. cel przetwarzania danych osobowych skarżącej został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu.
W ocenie PUODO, [...] niewłaściwie wskazuje jako podstawę przetwarzania danych skarżącej Rekomendację T Komisji Nadzoru Finansowego dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. Organ wskazał, że Bank był uprawniony do przetwarzania danych osobowych skarżącej w celu oceny zdolności kredytowej. Nie doszło jednak do zawarcia umowy pomiędzy skarżącą a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych skarżącej przez Bank. PUODO podniósł, że celem przetwarzania danych osobowych skarżącej była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych skarżącej został zrealizowany, wobec czego brak jest podstaw prawnych do kontynuowania tego procesu. Organ wskazał, że podziela pogląd wyrażony w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań."
PUODO stwierdził również, że przytoczone przez [...] przepisy rozporządzenia CRR również nie stanowią podstawy prawnej do dalszego przetwarzania danych osobowych skarżącej, w sytuacji, gdy w wyniku podjętych czynności sprawdzających nie doszło do zawarcia umowy kredytowej. Powołane przepisy CRR zawierają bowiem ogólne zasady tworzenia modeli służących ocenie ryzyka kredytowego, zatem żaden z nich nie stoi w sprzeczności z rozstrzygnięciem organu. PUODO zaznaczył, że nie kwestionuje zasadności tworzenia ww. modeli jednakże stoi na stanowisku, że muszą być one tworzone w taki sposób, aby nie naruszało to prawa do ochrony danych osobowych osób, których dane dotyczą.
Organ podał, że artykuł 144 ust. 1 lit. d CRR stanowi, że cyt. "Właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym". Kolejny przywołany przez [...] przepis, tj. art. 145 ust. 1 CRR stanowi zaś, iż "jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem", natomiast art. 147 ust. 5 lit. b CRR stanowi, że "aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie". Obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewiduje również art. 171 ust. 2 CRR cyt. "Klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji".
PUODO zwrócił uwagę, że z powyższych przepisów wynika, iż instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Inne przepisy rozporządzenia CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W przedmiotowym rozporządzeniu wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonania płatności uznaje się sytuacje takie jak m. in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. e) lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f). W CRR natomiast nie dokonano takiego konkretnego wskazania w przypadku zapytań kredytowych niezakończonych zawarciem umowy, tym samym nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych.
W ocenie organu za podstawę przetwarzania danych osobowych skarżącej, nie mogą być również uznane wskazane przez [...] cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. PUODO podkreślił, że powołany przez [...] art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej sprawie nie doszło zaś do zawarcia umowy kredytu pomiędzy skarżącą a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie.
Odnosząc się do powołanego zarówno przez Bank, jak i przez [...], celu ustalenia, dochodzenia lub obrony roszczeń PUODO wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby skarżąca wystąpiła z jakimkolwiek roszczeniem wobec Banku czy [...], które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez skarżącą tego roszczenia. Bank i [...] nie wskazały także na istnienie roszczeń, których dochodzą od skarżącej. Odwołując się do orzecznictwa organ wskazał, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.
Zdaniem organu przy przyjęciu odmiennej interpretacji ww. przepisów, skarżąca zostałaby pozbawiona ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Przyjęcie bowiem za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe skarżącej mogą być przetwarzane przez [...] permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież by skarżąca zwróciła się do Banku lub [...] z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych skarżącej przez Bank i [...] ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem skarżącej również po upływie ww. terminu.
PUODO podniósł, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i [...]. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.
W ocenie PUODO brak jest uzasadnienia dla przyjęcia, że [...] jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z zapytaniem złożonym przez Bank z dnia [...] października 2019 r., w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czyjej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji.
Organ stwierdził, że w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych skarżącej zawartych w przedmiotowym zapytaniu kredytowym zarówno przez Bank, jak i przez [...]. Organ wyjaśnił, że Bank w związku z pozyskaniem danych osobowych skarżącej w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast [...] stał się administratorem danych osobowych skarżącej z uwagi na przekazanie tych danych przez Bank. W związku z powyższym Bank oraz [...] są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe skarżącej we własnych celach i samodzielnie ustala sposoby ich przetwarzania. Organ podniósł, że w odniesieniu do kwestionowanego przez skarżącą przetwarzania jej danych osobowych przez Bank i [...] nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu.
Dalej PUODO wskazał, że Bank przetwarzał dane osobowe skarżącej wynikające z przedmiotowego zapytania kredytowego do dnia [...] marca 2023 r., do czego w ocenie organu nie był uprawniony od momentu doręczenia mu żądania skarżącej z dnia [...] lutego 2020 r. dotyczącego usunięcia jej danych osobowych przetwarzanych w związku z tym zapytaniem. Wprawdzie ani skarżąca, ani Bank nie przestawili dowodów, z których wynikałaby data doręczenia ww. żądania skarżącej do Banku, niemniej Bank udzielił skarżącej odpowiedzi na to żądanie pismem z dnia [...] lutego 2022 r. W dacie tej Bank dysponował już w swoich zasobach żądaniem skarżącej.
Zdaniem PUODO w powyższym zakresie doszło zatem do naruszenia przepisów o ochronie danych osobowych przez Bank i [...]. Organ wyjaśnił, że niemniej jednak aktualnie brak jest podstaw faktycznych, jak i prawnych do wydania w sprawie w stosunku do Banku jakiegokolwiek nakazu, na podstawie art. 58 ust. 2 RODO, zgodnie z którym PUODO w przypadku naruszenia przepisów o ochronie danych osobowych, z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Obecnie proces przetwarzania danych osobowych skarżącej wynikających z przedmiotowego zapytania kredytowego nie jest przez Bank kontynuowany. Niemniej na podstawie art. 58 ust. 2 RODO organowi przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b). W związku z tym PUODO uznał, że w realiach niniejszej sprawy z uwagi na charakter naruszenia przepisów oraz jego nieodwracalność, właściwe jest zastosowanie wobec Banku upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 RODO, polegające na przetwarzaniu bez podstawy prawnej danych osobowych skarżącej wynikających z zapytania kredytowego z dnia [...] października 2019 r., które nie zakończyło się zawarciem umowy kredytowej, w okresie od dnia [...] lutego 2020 r. do dnia [...] marca 2023 r. W odniesieniu zaś do kontynuowanego przez [...] procesu przetwarzania danych osobowych skarżącej wynikających z ww. zapytania kredytowego, organ korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazał [...] usunięcie danych osobowych skarżącej w skarżonym zakresie.
Na powyższą decyzję [...] oraz Bank wniosły skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
[...] w swojej skardze wskazał, że zaskarżą przedmiotową decyzję w części, tj. w zakresie pkt 2.
Zaskarżonej decyzji [...] zarzucił:
1. naruszenie prawa materialnego, tj.:
1.1. art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt. 1cw zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 ustawy Prawo bankowe poprzez jego niewłaściwe zastosowanie i przyjęcie, że [...] nie posiada ww. podstawy prawnej do przetwarzania danych zawartych w zapytaniu kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy [...] jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;
ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, [...] zarzucił naruszenie art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że nie posiada podstawy prawnej przetwarzania danych skarżącej opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;
1.2. art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie i przyjęcie, że [...] nie posiada podstawy prawnej do przetwarzania danych skarżącej w sytuacji niezawarcia umowy kredytowej, podczas gdy [...] posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i [...], w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego;
1.3. art. 6 ust. 1 lit. c) RODO w zw. z art. 106d ust. 1 pkt.3 Prawa bankowego w zw. z art. 39 ust. 1 w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt., art. 36 ust. 1 oraz art. 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2023 r. poz. 1124) (dalej jako: "AML") poprzez jego niezastosowanie i w konsekwencji przyjęcie, iż na [...] nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu, w sytuacji gdy nie doszło do zawarcia umowy kredytowej pomiędzy skarżącą a Bankiem - podczas gdy przepisy te nakładają na banki, a pośrednio na [...], jako instytucję wspierającą banki w realizacji obowiązków instytucji obowiązanej, obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym także wtedy gdy ostatecznie pomiędzy skarżącą a Bankiem nie została zawarta umowa kredytowa;
1.4. art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej skarżącej niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to [...] zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej;
1.5. art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że w przypadku braku zawarcia umowy kredytowej, [...] nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych skarżącej, podczas gdy istnieje prawnie uzasadniony interes [...] w przetwarzaniu tych informacji pomimo niezawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym;
2. naruszenie prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.:
2.1. art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. w zw. z art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 UODO poprzez niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielania kredytu, pomimo, iż przepisy prawa upoważniają [...] do przetwarzania tych danych, niewystarczające wyjaśnienia podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy, co w konsekwencji doprowadziło do błędnego nakazania usunięcia przetwarzanych danych osobowych skarżącej oraz uniemożliwiło [...] zapoznanie się z powodami negatywnej oceny wskazanych przez [...] podstaw przetwarzania;
2.2. art. 7, w zw. z art. 77 § 1 iw zw. z art. 80 k.p.a., w zw. z art. 7 UODO, poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane [...] oraz obowiązków prawnych i obowiązków wynikających z zawartych przez [...] umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania [...], co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych skarżącej;
2.3. art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 UODO poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych
o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności;
2.4. art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na [...], jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich [...] oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego;
2.5. art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, przejawiające się w szczególności brakiem dokonania analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji [...] jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie skarżącej, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym.
W oparciu o powyższe zarzuty [...] wniósł o uchylenie decyzji PUODO
w zaskarżonej części, zasądzenie od organu zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego (w tym zwrotu opłaty skarbowej od pełnomocnictwa w kwocie 17 zł), jak również o wstrzymanie wykonania zaskarżonej decyzji w zaskarżonej części.
W odpowiedzi na skargę wywiedzioną przez [...] organ wniósł o jej oddalenie podtrzymując stanowisko wyrażone w zaskarżonej decyzji.
Bank w swojej skardze wskazał, że zaskarżą pkt 1 decyzji PUODO z dnia [...] września 2024 r.
Zaskarżonej decyzji Bank zarzucił:
I. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.:
1.1. naruszenie art. 8 § 1 i 2 k.p.a. oraz art. 14 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców (Dz. U. poz. 646, z późn. zm.) poprzez odejście od ustalonej praktyki rozstrzygania spraw polegającej na udzieleniu Bankowi kar upomnienia w sytuacji, gdy w analogicznych sprawach (jak również w niniejszej sprawie w stosunku do [...], który przetwarzał te same dane osobowe skarżącej PUODO nie udziela podmiotowi administrującemu danymi upomnienia, ograniczając się do nakazania usunięcia danych osobowych; naruszenie art. 7 w zw. z art. 77 oraz art. 80 k.p.a., polegające na niepodjęciu wszystkich czynności niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy, na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego, a także na braku wszechstronnej i merytorycznej oceny zgromadzonego materiału dowodowego; powyższe skutkowało niezasadnym udzieleniem Bankowi upomnienia przez PUODO za przetwarzanie danych osobowych z zapytań kredytowych z dnia [...] października 2019 r.
W szczególności PUODO:
(i) nie ustalił wszystkich celów przetwarzania danych osobowych skarżącej, jak również nie uwzględnił w decyzji wszystkich okoliczności przetwarzania tych danych. W konsekwencji organ błędnie nie uwzględnił wszystkich podstaw prawnych dalszego przetwarzania danych Wnioskodawczyni w sytuacji, gdy nie została zawarta umowa o kredyt:
(ii) bezzasadnie pominął, że o ile analiza zdolności kredytowej dotyczy rozpoznania oraz oceny ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości, o tyle analiza ryzyka kredytowego wiąże się z koniecznością oszacowania ryzyka dla całego Banku, związanego z danym portfelem zobowiązań.
W celu ustalenia obiektywnych zasad akceptacji, Bank musi przeprowadzić analizę ryzyka kredytowego na podstawie zgromadzonej wiedzy na temat wszystkich osób, które wnioskowały o kredyt - zarówno tych, którym przyznano kredyt, jak i tych, którym odmówiono przyznania kredytu, Wyraźne rozróżnienie "zdolności kredytowej" i "ryzyka kredytowego" jest tym bardziej istotne w niniejszej sprawie, albowiem organ powołał się w decyzji przede wszystkim na wyrok z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, podczas gdy w tym orzeczeniu Naczelny Sąd Administracyjny nie oceniał potrzeby wykorzystania danych pod kątem niezbędności do analizy ryzyka kredytowego, a ponadto orzekał na podstawie nieobowiązuiacych już przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922 z późn. zm.) i nie analizował przepisów RODO:
(iii) bezzasadnie pominął, że bazy danych tworzone przez podmioty, które prowadzą działalność bankową, mają rozbudowaną strukturę, w tym zawierają szereg funkcji wyszukiwania oraz udostępniania raportów. Zróżnicowane mogą być również uprawnienia dostępu do zasobów informacji dla poszczególnych grup pracowników (z perspektywy wykonywanych przez nich zadań). Dopiero w takim szerokim kontekście należy rozważyć reguły przetwarzania danych osobowych. W ocenie Banku jest on uprawniony do przetwarzania danych skarżącej, a PUODO powinien wyjaśnić co najwyżej, w jakim terminie i dla jakich celów takie przetwarzanie jest uprawnione oraz którzy pracownicy Banku powinni mieć dostęp do tych danych (w zakresie niezbędnym do wykonywania przez nich zadań);
1.2. naruszenie art. 7 oraz art. 7b w zw. z art. 8 i art. 77 k.p.a., polegające na zaniechaniu zwrócenia się przez PUODO do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; tymczasem zwrócenie się przez organ do KNF pozwoliłoby na dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny oraz słuszny interes obywateli w postaci ustalenia należytych zasad, celów oraz zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych w taki sposób, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego oraz zapewnieniu stabilności rynku gospodarczo-finansowego.
II. naruszenie przepisów prawa materialnego, mające istotny wpływ na wynik sprawy, a to:
11.1. naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 4 ustawy Prawo bankowe poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że Bank (przed usunięciem danych osobowych skarżącej wynikających z zapytania kredytowego z dnia [...] października 2019 r.) nie legitymował się przesłanką przetwarzania danych osobowych skarżącej wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 4 , podczas ody z tych przepisów wynika obowiązek przetwarzania danych osobowych (również danych z zapytań kredytowych) przez banki oraz inne instytucje wymienione w art. 105 ust. 4 Prawa bankowego, na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego. Celem art. 105 ust. 4 Prawa bankowego jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Zdaniem Banku przyjęcie jako właściwego stanowiska prezentowanego przez PUODO może natomiast ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji między bankami a [...].
11.2. naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust 4 oraz art. 105a ust. 1 - 6 Prawa bankowego oraz art. 70 ust. 1 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 u.k.k. poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych osobowych skarżącej wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt. 1, art. 5 ust. 1 pkt. 3 oraz art. 70 ust. 1 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 u.k.k., podczas gdy z tych przepisów wynika obowiązek przetwarzania danych (również danych z zapytań kredytowych) przez banki oraz inne instytucje wymienione wart. 105 ust. 4 Prawa bankowego, na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego. Celem art. 105 ust. 4 Prawa bankowego jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Zdaniem Banku przyjęcie jako właściwego stanowiska prezentowanego przez PUODO może natomiast ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji między bankami i [...]. Ponadto, wbrew ocenie przedstawionej przez organ, również obowiązki wynikające z art. 105a ust. 1 - 1 c Prawa bankowego nie przestają istnieć wraz z wydaniem decyzji odmownej osobie wnioskującej o kredyt, a co za tym idzie, Bank i [...] są w dalszym ciągu objęte obowiązkiem przetwarzania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, a także przetwarzania danych osobowych w celu wykonania niezbędnych czynności bankowych (art. 5 ust. 1 pkt 3 Prawa bankowego), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 u.k.k.);
11.3. naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 144 ust. 1 lit. d), art. 145 ust. 1 , art. 170 ust. 3 lit. a), art. 171 ust. 2, art. 179 ust. 1 lit. a) oraz art. 181 ust. 2 CRR poprzez niewłaściwe zastosowanie oraz przyjęcie, że Bank (przed usunięciem danych osobowych skarżącej wynikających z zapytania kredytowego z dnia [...] października 2019 r.) nie legitymował się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z przepisami CRR , podczas gdy te przepisy wskazują na określone obowiązki banków w zakresie wymogów ostrożnościowych i nakładają na Bank obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych, aktualnych informacji, natomiast Bank jest obowiązany do zachowania spójności modelu. Usunięcie danych natychmiast po wydaniu decyzji o odmowie udzielenia kredytu albo cofnięciu wniosku prowadziłoby zaś do naruszenia tego obowiązku ; naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 106d ust. 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt. 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 AML poprzez brak zastosowania tych przepisów, a w konsekwencji brak ustalenia, że Bank (przed usunięciem danych skarżącej wynikających z zapytania kredytowego z dnia [...] października 2019 r.) legitymował się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów ustawy AML, albowiem ww. przepisy nakładają na Bank obowiązek przetwarzania informacji (w tym również danych osobowych) w celu zapewnienia bezpieczeństwa obrotu gospodarczego, poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych;
11.4. naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego poprzez brak zastosowania tych przepisów, a w konsekwencji brak ustalenia, że na podstawie art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego (przed usunięciem danych osobowych skarżącej wynikających z zapytania kredytowego z dnia [...] października 2019 r.) Bank legitymował się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów Prawa bankowego albowiem ww. przepisy nakładają na Bank (w przypadku złożenia wniosku przez osobę fizyczną) obowiązku udzielenia wyjaśnienia dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego, warto także odnotować, że aktualnie termin na złożenie wniosku o udzielenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wynosi rok od dnia otrzymania odmownej decyzji (w dniu składania wniosku kredytowego przepis nie przywidywał terminu na złożenie wniosku). A zatem ustawodawca nie przyjął, że dane powinny być usuwane niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu.
11.5. naruszenie art. 6 ust 1 lit f) RODO w zw. z art. 117 § 2 i 21, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. z 2023 r., poz. 1610; dalej jako: "k.c.") poprzez ich niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń nie stanowi prawnie uzasadnionego interesu Banku w rozumieniu art. 6 ust. 1 lit. f) RODO; tymczasem przepisy art. 6 ust. 1 lit. f) RODO w zw. z art. 117 § 2 i 21, art. 118 i art. 119 k.c. uprawniają Bank do przetwarzania danych osobowych w celu rozpatrywania oraz dochodzenia ewentualnych reklamacji lub roszczeń - również w sytuacji, gdy ani administrator danych osobowych (tu: Bank), ani osoba, której dane dotyczą (tu: skarżąca), nie zgłosiła jeszcze reklamacji lub roszczenia ;
11.6. naruszenie art. 6 ust. 1 lit. f) RODO w zw. z następującymi rekomendacjami wydanymi przez KNF: (i) Rekomendacją T z lutego 2013 r., dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych (załącznik do uchwały KNF nr 59/2013 z dnia 26 lutego 2013 r. (Dz. Urz. KNF z 2013 r., poz. 11); (ii) Rekomendacją W z lipca 2015 r., dotyczącą zarządzania ryzykiem modeli w bankach (załącznik do uchwały KNF nr 332/2015 z dnia 21 lipca 2015 r. (Dz. Urz. KNF z 2015 r., poz. 49); (iii) Rekomendacją S z grudnia 2019 r., dotyczącą dobrych praktyk w zakresie zarządzania ekspozycjami kredytowymi zabezpieczonymi hipotecznie (załącznik do uchwały KNF nr 492/2019 z dnia 3 grudnia 2019 r. (Dz. Urz. KNF z 2019 r., poz. 39); - poprzez niewłaściwe zastosowanie i niezasadne przyjęcie, że Bank (przed usunięciem danych osobowych skarżącej wynikających z zapytania kredytowego z dnia [...] października 2019 r.) nie legitymował się przesłanką przetwarzania wynikającą z art. 6 ust. 1 lit. f) RODO w zw. z ww. rekomendacjami KNF , podczas gdy ww. rekomendacje KNF nakładają na banki oraz [...] (jako instytucję powołaną na mocy art. 105 ust. 4 Prawa bankowego) określone wymagania nie tylko w związku z oceną danego, konkretnego wniosku kredytowego, ale także w odniesieniu do budowy metod oraz modeli statystycznych (w tym scoringowych); te wymagania podlegają następnie wyegzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa.
W oparciu o powyższe zarzuty Bank wniósł o uchylenie zaskarżonej decyzji w zaskarżonej części oraz umorzenie postępowania wobec Banku, jak również o zasądzenie od PUODO na rzecz Banku kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych oraz opłat skarbowych od pełnomocnictwa.
Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu 14 kwietnia 2025 r. połączył sprawę ze skargi [...] oraz Banku do łącznego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygn. akt II SA/Wa 1884/24.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 2024 r. poz. 935, z późn. zm.) dalej "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu.
W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności.
Rozpatrując skargę [...] oraz Banku wedle powyższych kryteriów Sąd uznał, że nie zasługują one na uwzględnienie.
W sprawie jest niesporne, że Bank oraz [...] pozyskały dane osobowe uczestnika postępowania w związku z zapytaniem kredytowym z [...] października 2019 r.
W przypadku tego zapytania nie doszło do zawarcia umowy między uczestnikiem postępowania a Bankiem. Niesporne jest, że Bank oraz [...] byli uprawnieni do przetwarzania danych osobowych uczestnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Dokonując oceny zgodności z prawem zaskarżonej decyzji należy wskazać, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
Powyższe znalazło wyraz w art. 6 ust. 1 RODO, określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Zgodnie z art. 105a ust. 1 Prawa bankowego przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d Prawa bankowego, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Wedle art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.
Stosownie do treści art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d u.k.k., o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Zgodnie zaś z art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4 Prawa bankowego, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 Prawa bankowego, przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania.
Art. 70 ust. 1 Prawa bankowego stanowi natomiast, że bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności.
W świetle ww. przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 Prawa bankowego, uprawnione było przetwarzanie danych osobowych uczestnika postępowania przez Bank oraz [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Warto jednak podkreślić, że w związku z ww. zapytaniem kredytowym uczestnika postępowania nie doszło do zawarcia umowy kredytowej. Nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został zatem osiągnięty, a uczestnik postępowania wniósł o usunięcie jego danych. Wobec tego należy zgodzić się z PUODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika postępowania przez Bank oraz [...]. Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych uczestnika postępowania przez [...], to należało uznać, tak jak prawidłowo przyjął PUODO, że ustał cel przetwarzania danych osobowych uczestnika postępowania pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, jak miało to miejsce w sprawie, brak jest ustawowych przesłanek legalizujących przetwarzanie danych osobowych uczestnika postepowania, zawartych w ww. zapytaniu kredytowym (por. wyrok Naczelnego Sądu Administracyjnego z dnia 13 lutego 2025 r., sygn. akt III OSK 6563/21, orzeczenia.nsa.gov.pl). Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego.
Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy kredytowej. Dalsze przetwarzanie danych, uzyskanych wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zebrano. Na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w sprawie, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych "na przyszłość", w innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań w odniesieniu do uczestnika postępowania.
Skoro w sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i dane te są przetwarzane (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym (w celu realizacji umowy), ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być uznane za związane ze stosunkiem prawnym i tym samym kwalifikowane jako "prawnie uzasadnione interesy", to należało uznać, że trafnie PUODO uznał, że brak jest podstaw do uznania, że zachodzi przesłanka z art. 6 ust. 1 lit. f RODO. Dalsze przetwarzanie danych osobowych uczestnika postępowania na przyszłość, i w innych celach wskazywanych obecnie przez Bank oraz [...] nie stanowi przesłanek z art. 6 ust. 1 lit. a -f RODO w okolicznościach faktycznych sprawy.
Odnośnie zarzutu [...] z pkt 1.1.1. skargi wyjaśnić należy, że art. 6 ust. 1 lit. c RODO dotyczy sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Podkreślenia wymaga, że art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Nadto przepis art. 105 ust. 4 ww. ustawy nie jest przepisem samodzielnie wprowadzającym kolejny podmiot, który ma dostęp do danych stanowiących tajemnicę bankową (zob. powołany wyżej wyrok Naczelnego Sadu Administracyjnego z dnia 13 lutego 2025 r., sygn. akt III OSK 6563/21).
Niezasadne są też zarzuty [...] oraz Banku dotyczące naruszenia art. 6 ust. 1 lit. c) RODO w zw. z art. 106d Prawa bankowego w związku z przepisami AML. Podkreślenia przy tym wymaga, że w skierowanym do organu piśmie z dnia [...] kwietnia 2023 r., wskazującym aktualne w owym czasie cele i podstawy przetwarzania danych osobowych uczestnika postępowania, [...] nie powoływał się na to, że podstawa przetwarzania danych osobowych uczestnika postępowania stanowią przepisy AML. W związku z tym organ do tej kwestii nie odniósł się w zaskarżonej decyzji. Taka argumentacja [...] znalazła się wprawdzie w piśmie z dnia [...] lipca 2020 r., niemniej jednak jak już wyżej zaznaczono w piśmie z dnia [...] kwietnia 2023 r. [...] wskazał aktualne cele i podstawy przetwarzania danych osobowych uczestnika postępowania. Z kolei Bank taką argumentację przytoczył dopiero w skardze.
Odnosząc się jednak to tej kwestii zauważyć należy, że zgodnie z art. 106d ust. 1 Prawa bankowego banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d u.k.k., mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.
Art. 106a ust. 3 Prawa bankowego, do którego odwołano się w art. 106d ust. 1 pkt 1 stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie.
Należy zauważyć, że art. 33 ust. 1 AML nakłada na instytucje obowiązane obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 AML. Art. 33 ust. 2 AML stanowi, że instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka. Z kolei zgodnie z art. 33 ust. 3 pkt 6 AML instytucje obowiązane dokumentują rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące celu, regularności lub czasu trwania stosunków gospodarczych. Art. 34 ust. 1 AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta – w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 35 AML wskazuje sytuacje, w których bank jest obowiązany stosować środki bezpieczeństwa finansowego. Art. 36 AML dotyczy kwestii identyfikacji klienta.
Na podstawie art. 49 ust. 1 AML, kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne.
W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy, zgodnie z art. 34 ust. 3 AML, instytucja pożyczkowa, na mocy art. 49 ust. 2 AML, jest obowiązana do przechowywania jej wyników przez 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia.
Z ww. przepisów wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego. Nie ma to jednak odniesienia do rozpoznawanej sprawy, gdy nie zawarto umowy kredytowej i nie można mówić o transakcji. Ogólne twierdzenia o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych uczestnika postępowania. W art. 2 ust. 2 pkt 2 AML wskazano, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości.
Rozszerzanie zatem przez [...] oraz Bank dopuszczalności przetwarzania danych (zawartych w zapytaniu kredytowym) osoby, z którą nie zawarto umowy kredytowej, z powołaniem się na "zapewnienie bezpieczeństwa obrotu gospodarczego", a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), w sytuacji, gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego.
Odnosząc się do dalszych zarzutów skarg wskazać należy, że z art. 144 ust. 1 lit. d), art. 145, art. 147 ust. 5 lit. b), art. 170 ust. 3 lit. a), ust. 4 lit. a), art. 171 ust. 2 i art. 179 ust 1 lit. a) CRR nie wynika podstawa prawna do dalszego przetwarzania danych osobowych uczestnika postepowania.
Zgodnie z art. 144 ust. 1 lit. d) CRR, właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Stosownie do art. 145 ust. 1 CRR, jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Z kolei art. 170 ust. 3 lit. a, stanowi, że struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Zgodnie z art. 171 ust. 2 klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji oraz stosownie do art. 179 ust. 1 lit. a, przy przeprowadzaniu kwantyfikacji parametrów ryzyka związanego z poszczególnymi klasami lub pulami ratingowymi instytucje stosują następujące wymogi: a) oszacowania własne instytucji dotyczące parametrów ryzyka PD, LGD, współczynnika konwersji i EL uwzględniają wszelkie istotne dane, informacje i metody. Oszacowań dokonuje się na podstawie zarówno doświadczeń z przeszłości, jak i dowodów empirycznych, nie zaś wyłącznie w oparciu o osąd własny. Oszacowania te są wiarygodne i intuicyjne oraz opierają się na istotnych czynnikach odpowiednich parametrów ryzyka. Im mniej danych ma do dyspozycji instytucja, tym ostrożniejsze są jej oszacowania.
Stosownie do treści art. 181 ust. 2 CRR w odniesieniu do ekspozycji detalicznych instytucje mogą podjąć następujące działania:
a) przeprowadzić oszacowania wartości LGD na podstawie zrealizowanych strat i odpowiednich oszacowań PD;
b) uwzględniać kwoty do wykorzystania w przyszłości w swoich współczynnikach konwersji albo oszacowaniach LGD;
c) w przypadku nabytych wierzytelności detalicznych stosować zewnętrzne i wewnętrzne dane źródłowe do oszacowań LGD.
/lit
Do celów akapitu pierwszego lit. b), jeżeli instytucje uwzględniają dodatkowe kwoty do wykorzystania w przyszłości w swoich współczynnikach konwersji, należy je uwzględnić w LGD zarówno w liczniku, jak i w mianowniku. W przypadku gdy instytucje nie uwzględniają przyszłych dodatkowych kwot do wykorzystania w przyszłości w swoich współczynnikach konwersji, należy je uwzględnić wyłącznie w liczniku LGD;
W przypadku ekspozycji detalicznych oszacowania LGD opierają się na danych z okresu co najmniej pięciu lat. Przy wdrażaniu metody IRB instytucje mogą, pod warunkiem uzyskania zezwolenia właściwych organów, korzystać z odpowiednich danych obejmujących okres dwóch lat. Okres ten jest co roku wydłużany o jeden rok do chwili, gdy istotne dane będą obejmować co najmniej pięć lat.
Powołane przepisy CRR nie stanowią podstawy do przetwarzania danych osobowych zawartych w zapytaniach kredytowych osoby, z którą nie zawarto umowy kredytu. Zdaniem Sądu, obowiązek zbierania informacji przydatnych w zarządzaniu ryzykiem nie może opierać się na naruszeniu przez [...] oraz Bank na gruncie RODO praw osoby fizycznej, która przekazała Bankowi swoje dane osobowe wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy czynność ta nie zakończyła się zawarciem umowy kredytowej. Przepisy CRR nie stanowią podstawy do "dalszego" przetwarzania danych zawartych w zapytaniu kredytowym w sytuacji nienawiązania stosunku zobowiązaniowego. Konstruowanie skutecznych i poprawnie działających modeli, o których mowa w powołanym rozporządzeniu 575/2013 może następować wyłącznie w oparciu o dane osobowe pozyskane i przetwarzane w sposób legalny.
PUODO nie kwestionował stosowania CRR – w ramach oceny zdolności kredytowej i analizy ryzyka kredytowego – a zatem w związku
z wykonywaniem czynności bankowych co do zasady. Nie wynika jednak z nich podstawa prawna do przetwarzania danych osobowych zawartych w ww. zapytaniach kredytowych, a zatem osoby, z którą umowy kredytowej nie zawarto. Prawo bankowe,
o czym mowa wyżej, ściśle określa cele i zasady przetwarzania danych osobowych,
w tym stanowi, w jakich przypadkach i dla jakich ściśle określonych celów jest dopuszczalne "dalsze" przetwarzanie danych bez zgody osoby fizycznej (po wygaśnięciu zobowiązania). W art. 105a ust. 4 Prawa bankowego wyraźnie wskazano na cele stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013. Prawo bankowe określa też, przez jaki czas mogą być przetwarzane dane stanowiące tajemnicę bankową po wygaśnięciu zobowiązania. Rozciąganie uprawnienia [...] oraz Banku do dalszego przetwarzania danych osobowych zawartych w ww. zapytaniu kredytowym, gdy nie powstało zobowiązanie nie może spotkać się w świetle przepisów RODO i Prawa bankowego z akceptacją Sądu.
Niezasadny jest również zarzut [...] naruszenia art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 Prawa bankowego, a także zarzut Banku naruszenia art. 6 lit. c RODO w zw. z art. 70a ust. i ust. 2 Prawa Bankowego. Zgodnie z art. 70a ust. 1 Prawa bankowego, banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie zaś z art. 70a ust. 2 Prawa bankowego., wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Od dnia 29 września 2023 r. w art. 70a Prawa bankowego dodany został również ustęp 1c, który stanowi, że termin złożenia wniosku, o którym mowa w ust. 1, wynosi rok od dnia otrzymania przez wnioskującego oceny zdolności kredytowej, o której mowa w ust. 1.
Zauważyć należy, że art. 70a Prawa bankowego nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust 4 Prawa bankowego. W przepisie tym nie można zatem upatrywać podstawy do przetwarzania danych osobowych uczestnika postępowania przez [...]. Nie może być więc mowy o tym, aby podstawę do dalszego przetwarzania danych osobowych uczestnika postępowania przez [...] stanowił art. 70a ust. 1 i 2 Prawa bankowego.
Ponadto wyjaśnić należy, że powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a uczestnika postępowania wniosła do Banku o usunięcie (zaprzestanie przetwarzania) swoich danych zawartych w zapytaniu kredytowym [...] października 2019 r. W związku z odmową w tym zakresie podjęła też działania przed PUODO. Z akt sprawy i całokształtu okoliczności nie wynika, aby wymieniona osoba wystąpiła do Banku, czy [...] o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika zaś, że złożyła do Banku żądanie usunięcia danych, w tym również w bazie [...]. Nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 Prawa bankowego. Kwestia zmiany brzmienia powołanego przepisu, o czym jest mowa w skardze Banku nie ma znaczenia dla rozstrzygnięcia niniejszej sprawy. Przepis art. 70a w brzmieniu wynikającym ze zmiany dokonanej art. 5 pkt 23 ustawy z dnia 16 sierpnia 2023 r. o zmianie niektórych ustaw w związku z zapewnieniem rozwoju rynku finansowego oraz ochrony inwestorów na tym rynku (Dz. U. z 2023 r., poz. 1723), nie miał zastosowania w niniejszej sprawie i nie wpływa na jej wynik. Wynikająca z nowego brzmienia przepisu kwestia terminu roku na złożenie wniosku w sprawie wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej powiązana jest ściśle przede wszystkim z momentem przekazania osobie fizycznej informacji o dokonanej ocenie zdolności kredytowej. W czasie, gdy wnioskodawcę poinformowano o braku zdolności kredytowej, powołany przepis nie zakreślał terminu na udzielenie informacji wnioskodawcy.
Sąd, odnosząc się do zarzutów [...] oraz Banku naruszenia art. 6 ust. 1 lit. f) RODO w zw. z Rekomendacjami KNF S, W i T, uznaje go za niezasadny, podnosząc, że Rekomendacje KNF nie są źródłem prawa powszechnie obowiązującego. Nie ma przy tym podstaw, aby w tym przypadku, w stanie faktycznym sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku oraz [...], o których jest mowa w art. 6 ust. 1 lit. f) RODO.
Należy podkreślić, że Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych, nie mogą być wykładane w sposób prowadzący do nieuprawnionego przetwarzania takich danych. Twierdzenie, że wypełnienie nakazu organu w postaci usunięcia danych osobowych uczestnika, przetwarzanych bez uzasadnionej podstawy prawnej prowadziłoby do uniemożliwienia realizacji ww. Rekomendacji KNF, nie daje podstaw do stwierdzenia
o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych
w zapytaniu kredytowym osoby, z którą Bank nie zawarł umowy, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych, w celach innych niż te, w jakich je zgromadził. Także powoływana potrzeba realizacji działań
z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym tej sprawy podstawy przetwarzania –
w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów [...].
Nietrafny jest przy tym zarzut [...] oraz Banku naruszenia art. 7b k.p.a. w związku z art. 7 i art. 77 k.p.a. - przez niezwrócenie się przez PUODO do KNF jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych, w celu kompleksowego wyjaśnienia stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny
i słuszny interes obywateli, w postaci ustalenia m.in. należytych zasad, celów i zakresu przetwarzanych danych osobowych o niezrealizowanych zapytaniach kredytowych.
Zgodnie z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W sprawie niniejszej PUODO nie miał obowiązku zwracania się do KNF ani w zakresie dokonywanych ustaleń stanu faktycznego ani w zakresie wyjaśnień stanu prawnego. PUODO jest wyspecjalizowanym organem ochrony danych osobowych, jedynym powołanym i uprawnionym do monitorowania i egzekwowania RODO, a nadto do upowszechniania wśród administratorów i podmiotów przetwarzających wiedzę o obowiązkach spoczywających na nich na mocy RODO (art. 51, art. 52, art. 57, motyw 123, motyw 129 RODO; wyroki WSA w Warszawie z 21 kwietnia 2022r. sygn. akt II SA/Wa 3131/21; 5 maja 2021r. sygn. akt II SA/Wa 1982/20 - orzeczenia.nsa.gov.pl).
Odnosząc się do zarzutu [...] oraz Banku naruszenia art. 6 ust. 1 lit f. RODO (powiązany przez Bank z art. 118 i art. 119 k.c.) w nawiązaniu do wskazywanej przez Bank i [...] potrzeby przechowywania danych (zawartych w zapytaniu kredytowym z [...] października 2019 r.) osoby, z którą nie zawarto umowy kredytowej w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego wskazania wymaga, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu powołanego przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby uczestnik postępowania, która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do Banku lub [...]. Uczestnika postępowania żądała natomiast usunięcia danych przetwarzanych bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit.f RODO mógłby stanowić podstawę dla Banku, czy [...] do "dalszego" przetwarzania jego danych na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano, nie wynika też ze skargi, jakich ewentualnie roszczeń Bank czy [...] chciałby dochodzić od osoby, która zażądała usunięcia swoich danych w zakresie tego zapytania kredytowego i z którą to osobą fizyczną nie zawarto umowy. Wskazania wymaga, że z art. 3531 k.c. wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji Przepis art. 3531 k.c. wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. Umowy nie zawarto, zobowiązanie nie powstało. [...] i Bank nie wskazały, aby uczestnika postępowania kierowała do nich jakiekolwiek roszczenia (zażądał jedynie usunięcia własnych danych osobowych, których jest wyłącznym dysponentem, w związku z tym, że ustał cel ich przetwarzania).
Ważąc interesy uczestnika postępowania, która żądała respektowania jej praw do ochrony danych osobowych wynikających z RODO i interesy Banku i [...] przedstawiane już wyżej, w sytuacji, gdy nie zawarto umowy kredytowej, brak jest podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit.f RODO. Sąd rozpoznający niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (v. wyrok NSA z dnia 27 marca 2018 r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania.
Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a Bankiem, jak również pomiędzy tą osobą a [...], które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie [...] i Banku w "dalszym" przetwarzaniu danych tej osoby w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.
W doktrynie podkreśla się, iż "w motywie 47 preambuły do RODO wskazano, że interesy i prawa podstawowe osoby, której dane dotyczą mogą być nadrzędne wobec interesu administratora danych, w szczególności w przypadkach, gdy dane osobowe są przetwarzane, w sytuacji w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek by spodziewać się dalszego przetwarzania" (v. P.Litwiński, P.Barta, M.Kawecki, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018, str. 308).
W motywie 47 RODO wprost wskazuje się, że "Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania".
Z okoliczności sprawy nie wynika, aby uczestnik postępowania mogła spodziewać się w czasie, gdy pozyskiwano od niego dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane nie tylko przez Bank, ale i przez [...], pomimo nie zawarcia umowy kredytowej (v. motyw 47 RODO). Odnosząc kwestię pozyskania i przetwarzania przez Bank i [...] ściśle osobistych, dotykających prywatności danych uczestnika postępowania w ramach zapytania kredytowego z dnia [...] października 2019 r., nie sposób uznać za uprawnione ich dalsze przetwarzanie bez jej zgody, w sytuacji, gdy bezspornie żadne z powołanych przez Bank i [...] przepisów prawa nie dają podstaw do ich dalszego przetwarzania, i jak wynika z ustaleń faktycznych nie sposób mówić o tym, że uczestnika postępowania mogła się spodziewać ich dalszego przetwarzania.
Zdaniem Sądu, nie ma wątpliwości, że PUODO dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy, zwracał się też do Banku oraz [...] o udzielenie stosownych wyjaśnień i je otrzymał. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi - zdaniem Sądu – zastrzeżeń oraz jest prawidłowa. Odmienna ocena Banku oraz [...] w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 i art. 80 k.p.a. Zarzut naruszenia powołanych przepisów, podniesiony przez Bank oraz [...] nie jest więc zasadny. Organ zbadał istnienie interesu prawnego Banku oraz [...] do przetwarzania danych osobowych uczestnika postępowania i uznał, że w świetle obowiązujących przepisów prawa nie zachodził. PUODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych, w tym [...], do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych uczestnika postępowania zawartych w ww. zapytaniu kredytowym, bowiem to przetwarzanie danych było kwestionowane. PUODO bezspornie posiada uprawnienie do dokonania oceny w tym przedmiocie na gruncie RODO, jako organ wyspecjalizowany. Gromadząc materiał dowodowy organ ten nie był przy tym obowiązany do dokonania analizy funkcjonowania sektora finansowego pod kątem wskazywanym w skargach, bo aspekt uprawnienia Banku oraz [...] do oceny zdolności kredytowej i analizy ryzyka kredytowego nie budził wątpliwości, co znalazło wyraz w uzasadnieniu zaskarżonej decyzji.
Podkreślenia wymaga też, że niezależnie od zrozumienia dla argumentacji Banku oraz [...], co do potrzeb, zamierzeń, czy celów, jakie chciałyby osiągnąć w działalności gospodarczej przez "dalsze" przetwarzanie danych osobowych zawartych w ww. zapytaniu kredytowym zaskarżona decyzja nie narusza prawa. Cel przetwarzania legalnie zebranych danych osobowych osoby fizycznej - ocena zdolności kredytowej i analizy ryzyka kredytowego - ustał. Tym samym każde inne przetwarzanie danych osobowych, w tym w innych celach niż pierwotnie przewidziane, musi mieć wyraźną podstawę prawną. PUODO wykazał natomiast, że takiej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych uczestnika postępowania, z którym nie zawarto umowy kredytowej, nie wykazano. Podstawy tej nie stanowią też powoływane w skargach przepisy w art. 70a Prawa bankowego, AML, czy CRR, bo wynikających z nich przetworzeń danych osobowych dokonuje się w celach innych niż cele, w jakich ww. dane zebrano od uczestnika postępowania. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego co niezbędne do ich osiągnięcia, w których zostały zebrane (art. 5 ust. 1 lit. c RODO). Przetwarzanie przez Bank oraz [...] "na przyszłość" danych zawartych w zapytaniu kredytowym uczestnika postępowania, w sytuacji, gdy nie zawarto umowy kredytowej z uczestnikiem postępowania, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO.
Przyjęcie natomiast interpretacji zaprezentowanej w skardze prowadziłoby do tego, że wobec osoby, której dane zawarto w zapytaniu kredytowym i z którą nie zawarto umowy kredytowej, istniałaby dowolność, tak co do zasad przetwarzania jej danych osobowych (bez jej zgody, jak można wnioskować ze stanowiska Banku oraz [...] zawartego w skargach), jak również co do przedstawienia innych celów przetwarzania, których nie ujawniono wprost przed pozyskaniem danych (innych niż ocena zdolności kredytowej i ryzyka kredytowego) oraz co do dowolnego ustalenia czasu przetwarzania danych z uwzględnieniem przyjmowanych celów, które służą określonym wymogom organu nadzoru nad rynkiem finansowym.
Zdaniem Sądu, gdyby PUODO nie wydał zaskarżonej decyzji, to sytuacja uczestnika postępowania – osoby fizycznej, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej – byłaby gorsza z punktu widzenia ochrony danych osobowych przewidzianych w RODO i odczytywanych łącznie z ww. przepisami w art. 70a Prawa bankowego, niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, po wygaśnięciu zobowiązania wynikającego z danej umowy, do dalszego przetwarzania danych przez Bank oraz [...] niezbędna byłaby zgoda osoby, której dane dotyczą, odwołalna w każdym czasie. Uczestnik postepowania, która zażądała natomiast usunięcia swoich danych osobowych, byłaby pozbawiona ochrony, choć przetwarzano jej dane w celu, który nie jest ściśle związany z konkretną czynnością, w związku z którą uzyskano i przetwarzano dane. Sąd w związku z tym uznaje, że Bank oraz [...], chcąc realizować obowiązki nałożone przez instytucje nadzorcze, w zakresie prowadzonej działalności, a jednocześnie chcąc przetwarzać dane osobowe konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych – uczestnika postepowania, który w związku z zapytaniem kredytowym stanowiącym podstawę do zebrania i przetwarzania danych, nie uzyskał kredytu - powinien przestrzegać przepisów RODO w zakresie "dalszego" przetwarzania, które nie wiąże się z oceną zdolności kredytowej i analizą ryzyka. Sąd podziela bowiem prezentowane w orzecznictwie poglądy, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia tej umowy, pozostawałoby w oderwaniu od celu, dla którego uzyskano i przetwarzano dane osobowe uczestnika postępowania. Tym samym niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019 r. sygn. akt I OSK 2567/17, wyroki WSA w Warszawie z: 25 kwietnia 2023 r. sygn. akt II SA/Wa 1942/22 i 5 czerwca 2023 r. sygn. akt II SA/Wa 1736/22, orzeczenia.nsa.gov.pl).
Wobec ustalenia, że Bank nie przetwarza już danych osobowych uczestnika postępowania dotyczących zapytania kredytowego z [...] października 2019 r. zasadnie organ udzielił Bankowi upomnienia. Organ ustalił bowiem, że w okresie od [...] lutego
2020 r. do [...] marca 2023 r. Bank przetwarzał dane osobowe uczestnika postępowania w ustalonym zakresie niezgodnie z przepisami RODO. Aktualnie Bank nie przetwarza już danych osobowych uczestnika postępowania wynikających z przedmiotowego zapytania kredytowego. Zachodziły zatem podstawy do skorzystania przez organ z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO i udzielenia Bankowi upomnienia.
Z uwagi natomiast na fakt, iż [...] kontynuował proces przetwarzania danych osobowych skarżącej wynikających z ww. zapytania kredytowego, organ zasadnie skorzystał z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO i nakazał usunięcie danych osobowych skarżącej w skarżonym zakresie.
Podsumowując Sąd stwierdza, że decyzja PUODO jest zgodna z prawem, zaś zarzuty skarg nie zasługiwały na uwzględnienie.
Mając na względzie powyższe Wojewódzki Sąd Administracyjny w na podstawie art. 151 p.p.s.a. orzekł jak w sentencji wyroku.