NSA oddalił skargi banku i BIK, zapytanie kredytowe ma zostać usunięte

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 17 sierpnia 2023 r. (II SA/Wa 1946/22) na podstawie art. 151 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r. poz. 1634 ze zm.; dalej także: "p.p.s.a.") oddalił skargi B. S.A. z siedzibą w W. (dalej także: "Biuro", "BIK", "skarżąca 1") oraz B. S.A. z siedzibą w W. (dalej także: "B.", "Bank", "skarżąca 2") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO", "PUODO", "organ") z 25 sierpnia 2022 r. w przedmiocie przetwarzania danych osobowych.

Wyrok ten zapadł na gruncie następującego stanu faktycznego sprawy.

Decyzją z 25 sierpnia 2022 r. Prezes UODO, działając na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm.; dalej także: "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781 ze zm.; dalej także: "u.o.d.o."), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej także: "RODO") po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. Z. (dalej także: "wnioskodawca", "uczestnik"), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. S.A. z siedzibą w W., polegające na przetwarzaniu jego danych osobowych w zakresie zapytania kredytowego z 20 lipca 2020 r. w B. S.A. (dalej również: "BIK") z siedzibą w W. bez podstawy prawnej, w pkt 1 nakazał BIK usunięcie danych osobowych J. Z., wynikających z zapytania kredytowego z 20 lipca 2020 r. przekazanego przez B. S.A. z siedzibą w W. natomiast w pkt 2 nakazał B. S.A. usunięcie danych osobowych J. Z. wynikających z zapytania kredytowego z 20 lipca 2020 r.

W uzasadnieniu organ wskazał, że wpłynęła do niego skarga wnioskodawcy na nieprawidłowości w procesie przetwarzania danych osobowych przez Bank, polegające na przetwarzaniu danych osobowych wnioskodawcy w zakresie zapytania kredytowego z 20 lipca 2020 r. w BIKu, bez podstawy prawnej.

Uczestnik w treści skargi wskazał, że Bank bezpodstawnie przetwarza jego dane osobowe pomimo tego, iż cofnął zgodę na ich udostępnienie i przetwarzanie, ponadto wskazał, że Bank nie spełnił wymagań uprawniających go do dalszego przetwarzania jego danych osobowych w bazie BIK. Wnioskodawca wniósł o nakazanie Bankowi zaprzestania przetwarzania jego danych osobowych w zakresie zapytania kredytowego.

Bank wyjaśnił z kolei, że pozyskał dane wnioskodawcy w zakresie: danych identyfikacyjnych (imię, nazwisko, nazwisko rodowe matki, numer PESEL, data urodzenia, miejsce urodzenia, rodzaj, seria, numer, data wydania, data ważności i kopia dokumentu tożsamości, wykształcenie, obywatelstwo), danych kontaktowych (adres zameldowania, adres zamieszkania (korespondencyjny), numer telefonu, adres e-mail), danych dot. sytuacji rodzinnej i finansowej (stan cywilny, wysokość, rodzaj dochodu, okres zatrudnienia, zawód, stanowisko, informacja o rozdzielności majątkowej, liczba dzieci, dane kontaktowe w tym adres, numer NIP, REGON i numer telefonu zakładu pracy, potwierdzenie okresu ubezpieczenia oraz wysokości podstawy wymiaru składek na ubezpieczenie emerytalne i rentowe) w związku z wnioskiem kredytowym z 20 lipca 2020 r. Dane te pozyskane były w celu: zawarcia i wykonania umowy produktowej, określenia ryzyka kredytowego i zdolności do spłaty zadłużenia oraz oszacowania możliwości zaoferowania wnioskodawcy produktów bankowych na określonych warunkach, a także w związku z koniecznością spełnienia wymogów prawnych spoczywających na Banku (na podstawie art. 6 ust. 1 lit. b) RODO).

Z kolei dane te zostały przekazane przez Bank do BIK w ramach procesowania rzeczonego wniosku kredytowego z 20 lipca 2020 r. w celu oceny zdolności kredytowej wnioskodawcy w Banku. B. dane te przekazał w tym samym dniu, tj. 20 lipca 2020 r. Podstawę prawną stanowił art. 5 ust. 1 pkt 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust. 4 w zw. z art. 105 ust. 1 pkt 1c) Prawa bankowego.

Bank wyjaśnił, że dane osobowe wnioskodawcy będą przez niego przetwarzane w celach archiwalnych, przez okres dwóch lat od daty tego wniosku, na podstawie art. 6 ust. 1 lit. c) RODO w zw. z art. 6 ust. 1 lit. f) RODO, z uwagi na konieczność spełniania przez Bank poniższych wymogów: art. 70a i 105a ustawy z 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2021 r. poz. 2439 ze zm.; dalej także: "P.b.") w związku z koniecznością zagwarantowania możliwości uzyskania wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej (art. 70a P.b.) lub w związku z koniecznością zapewnienia prawa do otrzymania stosownych wyjaśnień Banku co do podstaw decyzji podejmowanych w trybie art. 105a ust. 1 P.b. B. przetwarza dane osobowe wnioskodawcy w celu oceny ryzyka kredytowego, w tym oceny globalnego ryzyka kredytowego, m.in. na podstawie art. 105a ust. 1-1c P.b. w zw. z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012, a także w związku z wymogami określonymi przez Komisję Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych oraz w zakresie stosowania modeli wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dz.Urz. UE L 176 z 27.06.2013, str. 1, z późn. zm.), w zw. z art. 105 ust. 4 pkt 1) P.b. oraz art. 105a ust. 4 P.b., tj. m.in. wymogów kapitałowych określonych w części III ww. rozporządzenia - art. 147 ust. 5 w zw. z art. 147 ust. 2 lit. d) (dotyczących metod klasyfikowania ekspozycji do poszczególnych kategorii ekspozycji) lub art. 171 (dotyczących klasyfikacji do klas lub pul). Oprócz tego Bank przetwarza dane wnioskodawcy w celach ostrożnościowych, tj. w celu oceny ogólnej ekspozycji oraz ryzyka ekspozycji Banku, na podstawie właściwych przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012 w zw. z art. 105 ust. 4 P.b. Ponadto B. wskazał, że przetwarza dane w związku z możliwością dochodzenia przez wnioskodawcę od Banku ewentualnych roszczeń związanych z przedmiotem niniejszego postępowania, tj. na podstawie art. 6 ust. 1 lit. f) RODO w zw. z art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny w zw. z art. 82 RODO oraz związanej z tym konieczności umożliwienia Bankowi obrony przed ewentualnymi roszczeniami (art. 6 ust. 1 lit. f) RODO).

Bank wyjaśnił, że wnioskodawca zwracał się do niego z wnioskiem o usunięcie zapytania kredytowego z 20 lipca 2020 r. w dniu 8 sierpnia 2020 r. oraz w dniu 7 stycznia 2021 r., jednakże odmówił realizacji żądania.

Z kolei BIK wyjaśnił, że pozyskał dane wnioskodawcy od Banku na podstawie art. 105 ust. 4 i art. 105a ust. 1 P.b. oraz na podstawie łączącej Bank i BIK umowy. BIK wyjaśnił, że będzie przetwarzał dane osobowe wnioskodawcy przez okres maksymalnie 10 lat od dnia złożenia zapytania w celu budowy modeli scoringowych, co wynika

z art. 105a ust. 4 i ust. 5 P.b., który odnosi się literalnie do przetwarzania danych o wygasłych zobowiązaniach. BIK wskazał, że potrzeba tak długiego przetwarzania danych, ma zastosowanie również do przetwarzania danych o zapytaniach kredytowych do budowania modeli scoringowych, w tym w celu stosowania metod i modeli, o których mowa w rozporządzeniu Parlamentu Europejskiego i Rady nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającym rozporządzenie (UE) nr 648/2012 (Dz.Urz. UE L 2013 Nr 176, str. 1; dalej także: "CRR") i do innych analiz statystycznych wykonywanych przez BIK. W związku z tym dla tych celów, na podstawie art. 5 ust. 1 lit. e RODO przyjęto 10-letni okres przetwarzania danych.

BIK wskazał, że pozyskał dane wnioskodawcy w następujących celach:

1) wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego, w tym z wykorzystaniem profilowania;

2) statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych;

3) w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 P.b.;

4) w celach wynikających z art. 106d P.b. tj. w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

BIK podał również, że wnioskodawca nie wystąpił do niego z wnioskiem o usunięcie jego danych osobowych przetwarzanych w zakresie zapytania kredytowego z 20 lipca 2020 r.

Prezes UODO zauważył następnie, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zaś katalog w nim wskazany jest katalogiem zamkniętym, charakter przesłanek w nim określonych jest autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO.

Wnioskodawca 20 lipca 2020 r. wystąpił do Banku z wnioskiem o udzielenie kredytu. Wobec powyższego Bank oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych w celu oceny zdolności kredytowej. Przy czym, nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawcą, a Bankiem. W związku z powyższym utraciła moc przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy przez Bank oraz BIK. Przesłanki zawarte w art. 105a P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem, a wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 P.b. dawałby podstawę do dalszego przetwarzania jego danych osobowych. Podkreślenia również wymaga, że celem przetwarzania danych osobowych uczestnika była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu.

Kolejno, organ wskazał, iż w odniesieniu do wskazanego przez Bank celu realizacji wymogów ostrożnościowych tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji Banku wynikających z CRR, że z przepisów tych nie wynika uprawnienie do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy, cytując przy tym treść art. 144 ust. 1 lit. d CRR. Obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewiduje również art. 170 ust. 3 lit. a oraz ust. 4 lit. a, art. 171 ust. 2 oraz art. 179 ust. 1 lit. a CRR. Jak wynika z powyższych przepisów instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Należy ponadto dodać, że inne przepisy rozporządzenia CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W przedmiotowym rozporządzeniu wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonania płatności uznaje się sytuacje takie jak m. in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. e) lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f). W CRR natomiast nie dokonano takiego konkretnego wskazania w przypadku zapytań kredytowych niezakończonych zawarciem umowy, tym samym nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych.

Zdaniem Prezesa UODO, Bank niewłaściwie wskazuje jako podstawę przetwarzania danych wnioskodawcy Rekomendację T Komisji Nadzoru Finansowego dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. B. był bowiem uprawniony wyłącznie do przetwarzania danych osobowych wnioskodawcy w celu oceny zdolności kredytowej, zaś do zawarcia umowy między nim, a B. finalnie nie doszło, stąd odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika przez Bank.

Organ wyjaśnia także, że celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analiza ryzyka kredytowego, zaś wobec dokonania oceny takiego ryzyka i zdolności kredytowej ww. cel przetwarzania danych osobowych został zrealizowany, wobec czego brak jest podstaw prawnych do kontynuowania tego procesu, powołując się dodatkowo na pogląd NSA wyrażony w wyroku z 27 sierpnia 2019 r. (I OSK 2567/17).

W ocenie Prezesa UODO za podstawę przetwarzania danych osobowych wnioskodawcy, nie mogą być również uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części III rozporządzenia nr 575/2013. Organ podkreślił, że powołany przez BIK art. 105a ust. 4 P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą, jednakże w tym przypadku nie doszło do zawarcia umowy kredytu, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powołanym przepisie.

Zebrany w sprawie materiał dowodowy nie wykazał by BIK mógł przetwarzać dane osobowe skarżącego na podstawie art. 106d P.b. w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, ponieważ w toku prowadzonego postępowania nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W szczególności nie wykazał aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazał także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3.

Organ odnosząc się do powołanego zarówno przez Bank, jak i przez BIK, celu ustalenia, dochodzenia lub obrony roszczeń wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec Banku czy BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez wnioskodawcę tego roszczenia. Bank i BIK nie wskazały także na istnienie roszczeń, których dochodzą od wnioskodawcy. Prezes UODO podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

Przyjmując odmienną interpretację ww. przepisów wnioskodawca zostałby pozbawiony ochrony na gruncie RODO oraz u.o.d.o. Przyjęcie za prawidłowe argumentacji, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe wnioskodawcy mogłyby być przetwarzane przez BIK permanentnie, bez konieczności ich usunięcia. Brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.

Brak jest ponadto uzasadnienia dla przyjęcia, że Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 P.b. W niniejszej sprawie ustalono, że wnioskodawca w dniu 20 lipca 2020 r. ubiegał się o pożyczkę w Banku, jednak jego wniosek został przez Bank oceniony negatywnie i nie zakończył się zawarciem umowy z B. Pismami z 5 sierpnia 2020 r. oraz 7 stycznia 2021 r. uczestnik zwrócił się do Banku z żądaniem usunięcia jego danych przetwarzanych w związku z ww. zapytaniem oraz usunięciem go z BIK. Proces przetwarzania danych osobowych związanych z ww. zapytaniem kredytowy zakwestionował następnie w postępowaniu toczącym się przed Prezesem UODO, domagając się ochrony danych osobowych. Uwzględnienie żądania wnioskodawcy usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 P.b., z czym wnioskodawca, żądając usunięcia danych, musi się liczyć. W ocenie organu należy uznać więc, że wnioskodawca nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w powyższym przepisie, a tym samym nie można uznać, aby stanowił on podstawę przetwarzania jego danych osobowych.

Decyzja Prezesa UODO została zaskarżona odpowiednio przez skarżącą 1, w zakresie pkt 1 tejże decyzji, jak również przez skarżącą 2, w zakresie pkt 2 decyzji, podnosząc szereg zarzutów.

Odpowiadając na skargi organ wniósł o ich oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji.

W uzasadnieniu powołanego na wstępie wyroku oddalającego obie skargi WSA odwołując się do przepisów RODO wyjaśnił, że dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie pkt 1 i 2, którą Prezes UODO nakazał Bankowi i BIK usunięcie danych osobowych wnioskodawcy w zakresie zapytania kredytowego z 20 lipca 2020 r. niezakończonego udzieleniem kredytu, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, co znalazło przełożenie na w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych.

Sąd podzielił przy tym zapatrywania organu, że w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest przesłanek ustawowych legalizujących dalsze przetwarzanie danych osobowych niedoszłego klienta, taki bowiem wniosek wypływa z literalnego brzmienia art. 105a P.b.

Przesłanki zawarte w powołanym przepisie dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji natomiast, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie przez Bank oraz BIK danych osobowych potencjalnego klienta. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez Bank. Dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku braku zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań.

W niniejszej sprawie celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oraz BIK tejże oceny powyższy cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Trafne jest zatem stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO.

W ocenie Sądu Bank w sposób nieuprawniony próbuje rozszerzyć stosowanie normy wskazanej w art. 105a ust. 1 P.b. na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Bank wskazuje bowiem, że dla takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenia jej kredytu. Bank podkreśla przy tym, że analiza ryzyka kredytowego jest jego obowiązkiem, czego Sąd nie negował. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów.

Prezentowana przez Bank wykładnia art. 105a ust. 1 P.b. prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś gdyby doszło do zawarcia umowy, banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust 5 P.b. Skoro ustawodawca w art. 105a ust. 1 P.b. nie wskazał okresu, przez jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Oznacza to, że przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 P.b. jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do dalszego przetwarzania danych osobowych w oparciu o ten przepis wygasa, co potwierdzać ma także wyrok NSA z 27 sierpnia 2019 r. (I OSK 2567/17) na który się powołano.

Sąd meriti nie znalazł także podstaw do uwzględnienia zarzutu Banku, jakoby legitymował się on przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, które to Rekomendacje nakładają na banki określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego, na podstawie bezwzględnie obowiązujących przepisów, powołując się w tej kwestii na hierarchię źródeł prawa wynikającą z Konstytucji RP. Rekomendacje KNF nie są bowiem aktami prawa powszechnie obowiązującego, a tym samym nie mogą one stanowić źródła obowiązku prawnego ciążącego na administratorze, o którym mowa w art. 6 ust. 1 lit. c RODO lub źródła prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu art. 6 ust. 1 lit. f RODO.

Na uwzględnienie nie zasługiwał również zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013. Zauważyć bowiem należy, że zgodnie z art. 105a ust. 4 banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. W niniejszej sprawie nie doszło zaś do powstania zobowiązania. Poszukiwanie zatem uprawnienia do przetwarzania danych osobowych w takiej sytuacji w przepisach rozporządzenia nr 575/2013 jest nieuzasadnione.

Jako niezasadne ocenione zostały również przez Sąd zarzuty naruszenia prawa materialnego, dokonując przy tym wykładni m.in. art. 105 i art. 70 P.b. oraz art. 6 ust. 1 lit. f i e RODO. Zdaniem WSA analizowane powyżej przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a P.b. nie wskazują na niezbędność przetwarzania przez BIK danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy.

Zdaniem Sądu nie ma przy tym wątpliwości, że Prezes UODO dokonał w tej sprawie niezbędnych dla jej rozstrzygnięcia ustaleń faktycznych. W zakresie mającym znaczenie dla sprawy zebrał niezbędny materiał dowodowy, zwracał się do stron o udzielenie stosownych wyjaśnień, strony wyjaśnień tych udzieliły. Organ zgromadzony materiał dowodowy rozpatrzył wszechstronnie i należycie, a ocena tego materiału na gruncie przepisów RODO nie budzi zdaniem Sądu zastrzeżeń, jest prawidłowa.

Sąd zauważył również, że PUODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu PUODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych (art. 51, art. 52, art. 57, motyw 123, motyw 129 RODO).

Podsumowując, Sąd uznał, że ustalenia Prezesa UODO w zakresie braku dopuszczalności przetwarzania danych wnioskodawcy w zakresie zapytania kredytowego wskazanego w decyzji jest prawidłowe. Nakaz zawarty zarówno w pkt 1 jak i 2 decyzji jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. Za nieuzasadnione Sąd uznał wszystkie zarzuty podniesione przez Bank i BIK w złożonych skargach. W ocenie Sądu organ zasadnie nakazał w pkt 1 decyzji BIK, a w pkt 2 decyzji Bankowi usunięcie danych osobowych w zakresie zapytania kredytowego z 20 lipca 2020 r. niezakończonego udzieleniem kredytu.

W skardze kasacyjnej złożonej przez skarżącą 2, zaskarżając wyrok Sądu pierwszej instancji w części w jakiej oddalona została skarga Banku odnośnie do pkt 2 decyzji Prezesa UODO z 25 sierpnia 2022 r., zarzucono:

II. na podstawie art. 176 § 1 pkt 2 w zw. z art. 174 p.p.s.a.:

II.1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, (art. 174 pkt 2 p.p.s.a.), a to naruszenie art. 151 p.p.s.a. w zw. z art. 145 § 1 pkt 1 lit. c p.p.s.a. poprzez oddalenie skargi Banku z 23 września 2022 r. na pkt 2 decyzji, pomimo że Sąd pierwszej instancji powinien uchylić decyzję w zaskarżonym przez Bank zakresie, albowiem została wydana przez organ z obrazą przepisów postępowania, a to:

A. art. 7 w zw. z art. 77 oraz art. 80 k.p.a. ponieważ Prezes UODO nie podjął wszystkich czynności niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy, nie zebrał ani nie rozpatrzył materiału dowodowego w sposób wyczerpujący, a także nie dokonał wszechstronnej i merytorycznej oceny zgromadzonego materiału dowodowego: powyższe skutkowało wydaniem przez organ niezasadnego nakazu usunięcia przez skarżącą 2 danych osobowych wnioskodawcy wynikających z zapytania kredytowego z 20 lipca 2020 r. W szczególności Prezes UODO:

i) nie ustalił wszystkich celów przetwarzania danych osobowych wnioskodawcy, jak również nie uwzględnił w decyzji wszystkich okoliczności przetwarzania tych danych. Przede wszystkim Prezes UODO bezzasadnie pominął, że bazy danych tworzone przez podmioty prowadzące działalność bankową mają rozbudowaną strukturę, w tym zawierają szereg funkcji wyszukiwania oraz udostępniania raportów. Zróżnicowane mogą być również uprawnienia dostępu do zasobów informacji dla poszczególnych grup pracowników (z perspektywy wykonywanych przez nich zadań). W ocenie Banku dopiero w takim szerokim kontekście należy rozważyć reguły przetwarzania danych osobowych - tj. ustalić, w jakim terminie i dla jakich celów takie przetwarzanie jest uprawnione oraz którzy pracownicy Banku powinni mieć dostęp do tych danych (w zakresie niezbędnym do wykonywania przez nich zadań). Zamiast tego Prezes UODO przyjął błędną tezę, jakoby dane powinny być usuwane niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu;

ii) nie ustalił, że po upływie 12 miesięcy od skierowania przez Bank do BIKu zapytania kredytowego z 20 lipca 2020 r. (dotyczącego wniosku o udzielenie kredytu, złożonego przez wnioskodawcę w tym samym dniu) to zapytanie zostało przekazane do tzw. części statystycznej BIK. Tym samym, w dniu wydania decyzji (25 sierpnia 2022 r.) informacja o ww. zapytaniu kredytowym nie była już dostępna dla innych banków lub innych właściwych podmiotów czy instytucji w BIK oraz nie wpływała na ocenę zdolności kredytowej wnioskodawcy;

iii) bezzasadnie pominął, że o ile analiza zdolności kredytowej dotyczy rozpoznania i oceny ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości, o tyle analiza ryzyka kredytowego wiąże się z koniecznością oszacowania ryzyka dla całego banku, związanego z danym portfelem zobowiązań. W celu ustalenia obiektywnych zasad akceptacji, Bank przeprowadza analizę ryzyka kredytowego na podstawie wiedzy zgromadzonej na temat wszystkich osób, które wnioskowały o kredyt - w tym tych, którym ostatecznie odmówiono udzielenia kredytu.

Wyraźne rozróżnienie "zdolności kredytowej" oraz "ryzyka kredytowego" jest tym bardziej istotne w niniejszej sprawie, gdyż zarówno organ, jak i Sąd pierwszej instancji powołał się na wyrok z 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, podczas gdy w tym orzeczeniu NSA nie oceniał potrzeby wykorzystania danych pod kątem niezbędności do analizy ryzyka kredytowego, a ponadto orzekał na podstawie nieobowiązujących już przepisów ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2016 r., poz. 922 z późn. zm.) oraz nie analizował przepisów RODO.

W tym kontekście warto również zaznaczyć, że obowiązująca wcześniej ustawa o ochronie danych osobowych z 1997 r. w sposób bardzo wąski definiowała "prawnie usprawiedliwione cele", natomiast prawodawca unijny, na podstawie art. 6 ust. 1 lit. f RODO, ustanowił znacznie szerszą przesłankę przetwarzania danych osobowych (uzasadniony interes administratora). W związku z tym ponownie warto podkreślić, że analizując wyrok NSA z 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, trzeba mieć na uwadze, że zapadł on na podstawie przepisów prawa, które różniły się od aktualnie obowiązujących;

iv) bezzasadnie założył, że skoro wnioskodawca zażądał usunięcia swoich danych osobowych związanych z zapytaniem kredytowym, to musi się liczyć z tym, że "(u)względnienie żądania Skarżącego [Wnioskodawcy - przyp. autora] usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 prawa bankowego". Tymczasem z materiału dowodowego nie wynika, aby wnioskodawca istotnie "liczył się" lub był świadomy, że właśnie takie będą skutki jego żądania o usunięcie danych osobowych. Warto zwrócić uwagę, że w dniu wydania decyzji (25 sierpnia 2022 r.) obowiązek Banku przewidziany w art. 70a P.b. nie był ograniczony w czasie. W związku z tym sam fakt, że wnioskodawca nie zażądał wcześniej od Banku wyjaśnień dotyczących oceny zdolności kredytowej, nie musiał przecież oznaczać, że nie zdecyduje się na skierowanie takiego wniosku w przyszłości;

B. art. 107 § 1 pkt. 5 oraz art. 107 § 3 w zw. z art. 104 § 2 k.p.a., ponieważ w decyzji nie wskazano ani nie wyjaśniono, jakie konkretnie dane osobowe wnioskodawcy oraz w jakim celu przetwarzane przez Bank, Prezes UODO uznaje za objęte zakresem "wynikającym z zapytania kredytowego z dnia 20 lipca 2020 r." podczas gdy osnowa decyzji powinna być skonstruowana tak precyzyjnie, aby po stronie obowiązanego podmiotu (tu: Bank i Biuro) nie było żadnych wątpliwości co do zakresu powinności wynikających z tej decyzji. Osnowa zaskarżonej decyzji nie spełnia tego wymogu - wynika z niej jedynie, wobec jakich zdarzeń (tu: zapytanie kredytowe z 20 lipca 2020 r.) mają zostać usunięte dane wnioskodawcy. Również w uzasadnieniu decyzji nie wyjaśniono, jakie konkretnie dane osobowe wnioskodawcy oraz w jakim celu przetwarzane przez Bank, Prezes UODO uznaje za objęte zakresem wynikającym z zapytania kredytowego z 20 lipca 2020 r.;

C. art. 7 oraz art. 7b w zw. z art. 8 i art. 77 k.p.a., gdyż Prezes UODO nie zwrócił się do Komisji Nadzoru Finansowego (dalej jako: "KNF") jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; tymczasem zwrócenie się przez organ do KNF pozwoliłoby na dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny oraz słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych w taki sposób, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego oraz zapewnieniu stabilności rynku gospodarczo-finansowego;

II.2. naruszenie przepisów prawa materialnego (art. 174 pkt 1 p.p.s.a.), a to:

A. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1 - 1c P.b. poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że skoro nie doszło do zawarcia umowy kredytu, to Bank nie legitymował się przesłanką przetwarzania danych osobowych wnioskodawcy wynikającą z art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1 - 1c P.b., podczas gdy z tych przepisów wynika obowiązek przetwarzania danych (również danych z zapytań kredytowych) przez banki oraz inne instytucje wymienione w art. 105 ust. 4 P.b., na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego. Celem art. 105 ust. 4 P.b. jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Zdaniem skarżącej 2 przyjęcie jako właściwego stanowiska prezentowanego przez Prezesa UODO (zgodnie z którym BIK i banki powinny usuwać dane natychmiast po wydaniu decyzji o odmowie udzielenia kredytu) może ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji pomiędzy bankami i BIK. Ponadto, wbrew ocenie przedstawionej w wyroku, również obowiązki wynikające z art. 105a ust. 1 - 1 c P.b. nie przestają istnieć w sytuacji, gdy umowa kredytu nie zostaje zawarta - w takiej sytuacji Bank w dalszym ciągu jest objęty obowiązkiem przetwarzania danych w celu analizy ryzyka kredytowego;

B. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 P.b. w zw. z art. 9 ust. 2, 3 i 4 ustawy z 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz.U. z 2023 r., poz. 1028 z późn. zm.; dalej jako: "ustawa o kredycie konsumenckim") poprzez jego niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 P.b. w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim, podczas gdy cel przetwarzania danych polega na dostarczaniu Bankowi przez BIK informacji (w tym ocen i modeli scoringowych) niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 P.b.), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 P.b. w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim). Ponadto brak danych wynikających z decyzji kredytowych wpłynąłby negatywnie na funkcjonujące i przyszłe modele scoringowe;

C. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2, art. 179 ust. 1 lit. a oraz art. 181 ust. 2 CRR poprzez niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z przepisami CRR, podczas gdy te przepisy wskazują na określone obowiązki banków w zakresie wymogów ostrożnościowych, a nadto nakładają na skarżącą 2 obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych oraz aktualnych informacji, natomiast Bank obowiązany jest do zachowania spójności modelu. Usunięcie danych osobowych wnioskodawcy natychmiast po wydaniu decyzji o odmowie udzielenia kredytu prowadziłoby zaś do naruszenia tego obowiązku;

D. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 106d ust. 3 P.b., art. 33 ust. 2, art. 33 ust. 3 pkt. 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. z 2023 r., poz. 1124; dalej jako: "ustawa AML") poprzez ich niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów ustawy AML podczas gdy ww. przepisy ustawy AML nakładają na Bank obowiązek przetwarzania informacji, w tym danych osobowych, w celu zapewnienia bezpieczeństwa obrotu gospodarczego, poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych;

E. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust 1 i 2 P.b. poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że przepisy art. 70a ust. 1 i 2 P.b. nie