Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj (spr.), Sędzia WSA Ewa Marcinkowska, Sędzia WSA Sławomir Fularski, po rozpoznaniu na posiedzeniu niejawnym w dniu 23 lutego 2022 r. sprawy ze skarg Biura Informacji Kredytowej S.A. z siedzibą w [...] i Spółdzielczej Kasy Oszczędnościowo-Kredytowej im. [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Postępowanie administracyjne zainicjowała skarga M. U., zwanej dalej Skarżącą, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Spółdzielczą Kasę Oszczędnościowo-Kredytową im. [...] siedzibą w [...], zwany dalej SKOK, polegające na przetwarzaniu przez SKOK jej danych osobowych bez podstawy prawnej, w tym na udostępnieniu danych osobowych Skarżącej na rzecz Biura Informacji Kredytowej S.A. z siedzibą w [...], zwaną dalej BIK. W toku prowadzonego postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżąca wskazała, że w dniu [...] sierpnia 2019 r. SKOK wysłała zapytanie kredytowe do BIK, w wyniku czego w bazie BIK przetwarzane są jej dane osobowe dotyczące tego zapytania. Skarżąca podniosła, że nie doszło do zawarcia umowy pomiędzy Skarżącą a SKOK. Wobec powyższego Skarżąca wniosła o usunięcie jej danych osobowych przetwarzanych bez podstawy prawnej (dowód: skarga z dnia [...] stycznia 2020 r. i załącznik do ww. skargi).

2. Skarżąca w dniu [...] sierpnia 2019 r. złożyła wniosek o udzielenie kredytu. W związku z powyższym SKOK pozyskał dane osobowe Skarżącej w celu oceny zdolności kredytowej w zakresie: imię, nazwisko, imiona rodziców, nazwisko panieńskie matki, numer PESEL, data urodzenia, numer dowodu osobistego, data ważności dowodu osobistego, adres zamieszkania, adres korespondencyjny, stan cywilny, informacje o dochodzie i zatrudnieniu, obywatelstwo, płeć, wykształcenie. SKOK aktualnie przetwarza dane osobowe Skarżącej, zawarte we wniosku kredytowym w ww. zakresie w celu ustalenia, dochodzenia lub obrony roszczeń, z zastosowaniem 3-letniego terminu przedawnienia (dowód: wyjaśnienia SKOK z dnia [...] marca 2020 r. i załącznik do ww. wyjaśnień).

3. SKOK pozyskał dane osobowe Skarżącej w celu zbadania jej zdolności kredytowej i oceny ryzyka kredytowego. W związku z niezawarciem przez SKOK umowy pożyczki ze Skarżącą jej dane osobowe będą przetwarzane przez SKOK przez okres 3 lat w celu rozpatrywania reklamacji i obrony przed ewentualnymi roszczeniami, co stanowi prawnie uzasadniony interes SKOK (dowód: wyjaśnienia SKOK z dnia [...] marca 2020 r.).

4. BIK przetwarza obecnie dane osobowe Skarżącej przekazane przez SKOK

w związku ze złożonym w dniu [...] sierpnia 2019 r. zapytaniem kredytowym. Powyższe dane osobowe Skarżącej zostały przekazane do BIK przez SKOK na podstawie art. 105 ust. 4 oraz 105a ust. 1, 1a, 1b ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, zwanej dalej Prawem bankowym oraz na podstawie łączącej SKOK i BIK umowy. BIK przetwarza dane pochodzące z zapytań kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) BIK będzie przetwarzał dane osobowe Skarżącej w związku ze złożonym zapytaniem kredytowym w celu budowy modeli scoringowych tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz (dowód: wyjaśnienia BIK z dnia [...] lipca 2020 r.).

5. Skarżąca zwróciła się do SKOK o usunięcie jej danych osobowych przetwarzanych w związku ze złożonym wnioskiem kredytowym. Powyższy podmiot odmówił usunięcia danych osobowych Skarżącej (dowód: wyjaśnienia SKOK z dnia [...] marca 2020 r. wraz załącznikami).

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2021 r. nakazał Biuru Informacji Kredytowej S.A. z siedzibą w [...] usunięcie danych osobowych M. U. w zakresie zapytania kredytowego z dnia [...] sierpnia 2019 r. przekazanych przez Spółdzielczą Kasę Oszczędnościowo-Kredytową im. [...] siedzibą w [...] i nakazał Spółdzielczej Kasie Oszczędnościowo-Kredytowej im. [...] z siedzibą w [...] usunięcie danych osobowych M. U., przetwarzanych w związku z zapytaniem kredytowym z dnia [...] sierpnia 2019 r.

W uzasadnieniu decyzji wskazano, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwanego dalej RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Wskazano też, iż katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane.

Wskazano też, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Organ przywołał też art. 105a i 70 Prawa bankowego.

Organ wskazał również, że Skarżąca w dniu [...] sierpnia 2019 r. wystąpiła do SKOK

z wnioskiem o udzielenie kredytu. Wobec czego SKOK oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych Skarżącej w celu oceny zdolności kredytowej. Podkreślono, że nie doszło jednak do zawarcia umowy kredytu pomiędzy Skarżącą

a SKOK.

W związku z powyższym, w ocenie organu odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Skarżącej przez SKOK oraz BIK. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy SKOK a Skarżącą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych Skarżącej. Podkreślono również, że celem przetwarzania danych osobowych Skarżącej była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez SKOK oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych Skarżącej został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu.

Powyższe stanowisko organ podbudował dodatkowo tezą m. in. w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu, dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań.".

W ocenie organu za podstawę przetwarzania danych osobowych Skarżącej, nie mogą być również uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Podkreślono, że powołany przez BIK art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Ponownie wskazano, że w przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy Skarżącą a SKOK, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie.

Odnosząc się natomiast do powołanego przez SKOK celu ustalenia, dochodzenia lub obrony ewentualnych roszczeń wskazano, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby Skarżąca wystąpiła z jakimkolwiek roszczeniem wobec SKOK, które uzasadniałoby uprawnienie tego podmiotu do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez Skarżącą tego roszczenia. Podkreślono, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

Prezes Urzędu Ochrony Danych Osobowych podzielił ponadto stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 1 grudnia 2010 r. w sprawie o sygn. akt II SA/Wa 1212/10 (LEX nr 755113) orzekł, cyt.: "W niniejszej sprawie, organ podniósł, iż skarżący kierował pod adresem spółki zastrzeżenia odnośnie legalności przetwarzania jego danych i zapowiedzi skierowania sprawy na drogę sądową. Stąd też spółka uprawniona była do utrwalenia danych skarżącego i zachowania ich dla celów dowodowych na wypadek dochodzenia przez skarżącego ewentualnych roszczeń. Zdaniem Sądu, powyższe okoliczności nie wypełniają przesłanki prawnie usprawiedliwionych celów przetwarzania danych skarżącego. Należy bowiem zwrócić uwagę, iż przesłanka z art. 23 ust. 1 pkt 5 ustawy dotyczy sytuacji już istniejącej i pewnej, a więc przypadku, gdy istnieje potrzeba udowodnienia, potrzeba dochodzenia roszczenia z tytułu prowadzonej działalności gospodarczej, nie zaś sytuacji, gdy dane są przetwarzane na wypadek ewentualnego procesu i ewentualnej potrzeby udowodnienia, iż dane osobowe pozyskane bez zgody osoby, której dotyczą są przetwarzane zgodnie z prawem. Należy również podkreślić, iż skarżący jedynie zapowiedział i nie zrealizował swoich zapowiedzi odnośnie skierowania sprawy na drogę sądową. Stąd też spółka, zdaniem Sądu, nie może przetwarzać danych osobowych skarżącego tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem skarżącego. W przeciwnym bowiem razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe skarżącego jeżeli nie zrealizuje on swoich zapowiedzi."

Podkreślono, że przy przyjęciu odmiennej interpretacji ww. przepisów, Skarżąca zostałaby pozbawiona ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe Skarżącej mogą być przetwarzane przez SKOK permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież by Skarżąca zwróciła się do SKOK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych Skarżącej przez SKOK ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem Skarżącej również po upływie ww. terminu.

W tym miejscu wskazano też, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez SKOK. Jak zauważono, przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Podkreślono, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Wobec powyższego, w ocenie Prezesa Urzędu Ochrony Danych Osobowych,

w niniejszej sprawie brak jest celu uzasadniającego przetwarzanie danych osobowych Skarżącej zawartych w przedmiotowym zapytaniu kredytowym zarówno przez SKOK, jak i przez BIK. Wskazania według organu w tym miejscu wymaga, że SKOK w związku z pozyskaniem danych osobowych Skarżącej w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast BIK stał się administratorem danych osobowych Skarżącej z uwagi na przekazanie tych danych przez SKOK.

W związku z powyższym stwierdzono, że SKOK oraz BIK są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe Skarżącej we własnych celach i samodzielnie ustala sposoby ich przetwarzania.

Reasumując, w ocenie organu, w odniesieniu do kwestionowanego przez Skarżącą przetwarzania jej danych osobowych przez SKOK i BIK, nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych nakazał zarówno SKOK jak i BIK, będącymi administratorami, usunięcie danych osobowych Skarżącej przetwarzanych

w związku ze złożonym zapytaniem kredytowym z dnia [...] sierpnia 2019 r.

Skargi od powyższej decyzji wywiodło do tut. Sądu Biuro Informacji Kredytowej S.A. w [...] oraz Spółdzielcza Kasa Oszczędnościowo-Kredytowa im. [...] w [...]. Ponieważ sprawy wywołane powyższymi skargami pozostawały ze sobą w związku, Sąd zarządził ich połączenie do wspólnego rozpoznania

i rozstrzygnięcia.

Biuro Informacji Kredytowej S.A. w [...] w swojej skardze:

I. Zaskarżonej decyzji zarzuciło:

1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7 w związku z art. 77 i art. 80 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t.j. Dz. U. z 2020 r. poz. 256, dalej: "K.p.a."), polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało nakazem usunięcia danych osobowych M. U. przez Skarżącego oraz Spółdzielczą Kasę Oszczędnościowo-Kredytową im. [...] w zakresie wskazanym w zaskarżonej decyzji;

2) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy,

tj. art. 7b K.p.a., polegające na zaniechaniu zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych;

3) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy,

tj. art. 8 § 1 K.p.a. poprzez nieuznanie przez Organ, iż pozytywny wynik kontroli dokonanej w BIK przez poprzednika Organu (Generalnego Inspektora Ochrony Danych Osobowych) w zakresie legalności zapytań kredytowych powinien być wzięty pod uwagę w niniejszej sprawie w zakresie przetwarzania tych samych kategorii danych;

4) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 8 § 2 K.p.a., polegające na odstąpieniu przez Organ bez uzasadnionej przyczyny od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co narusza zasadę pogłębiania zaufania obywateli do władzy publicznej;

5) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia

27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.5.2016, str. 1, ze zm., dalej: "RODO")

w zw. 2 art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U.

z 2020 r. poz. 1896, z ze. zm., dalej: "Prawo bankowe"), polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 Prawo bankowe, podczas gdy przepisy te nakładają na Skarżącego obowiązek przetwarzania danych osobowych, w tym danych z zapytań kredytowych przekazanych przez banki i inne instytucje wymienione w art. 105 ust. 4 Prawa bankowego na zasadzie wzajemności i w zakresie, w jakim informacje te potrzebne są bankom i innym instytucjom ustawowo upoważnionym do udzielania kredytów, w tym spółdzielczym kasom oszczędnościowo-kredytowym do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego oraz innym instytucjom (instytucjom pożyczkowym) w zakresie niezbędnym do oceny zdolności kredytowej

i analizy ryzyka kredytowego;

6) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku

z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, podczas gdy przepisy

te nakładają na banki i inne instytucje upoważnione do udzielania kredytów,

a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa;

7) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 pkt 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 pkt 1 Prawa bankowego, podczas gdy Skarżący wykazuje cel przetwarzania danych osobowych polegający na dostarczaniu bankom informacji (w tym ocen i modeli scoringowych) niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 Prawa bankowego), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 ust. Prawa bankowego);

8) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1-1c ustawy Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1-1c Prawa bankowego, podczas gdy Skarżący wykazuje cel przetwarzania danych osobowych polegający na przekazywaniu bankom i innym instytucjom ustawowo upoważnionym do udzielania kredytów, w tym Spółdzielczej Kasie Oszczędnościowo-Kredytowej im. [...] będącej stroną tego postępowania, informacji niezbędnych do oceny zdolności kredytowej i analizy ryzyka kredytowego;

9) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 106d Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 106d Prawa bankowego, podczas gdy Skarżący wykazuje cel przetwarzania danych osobowych polegający na analizie danych podanych we wnioskach kredytowych i analizie zapytań kredytowych złożonych w BIK w określonym czasie w celu wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d Prawa bankowego;

10) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz. U. z 2020 r. poz. 971, dalej: "ustawa AML"), polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy AML, podczas gdy przepisy te nakładają na banki, inne instytucje ustawowo upoważnione do udzielania kredytów i BIK obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez Skarżącego;

11) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit a, art. 171 ust. 2 i art. 179 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i rady

nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE)

nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1, dalej jako "CRR"), polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z powyższymi przepisami CRR wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych;

12) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 70a ust. 1 i 2 Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się podstawą prawną przetwarzania danych osobowych, podczas gdy przepisy te nakładają na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek wyjaśniania decyzji kredytowych, a wyjaśnienie to musi obejmować dane przetwarzane

i dostarczane przez Skarżącego;

13) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z art. 117 § 2 i § 2, 118 i 119 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (t.j. Dz.U. z 2020 r. poz. 1740, dalej: "Kodeks cywilny") polegające na jego niewłaściwym zastosowaniu i przyjęciu, że przechowywanie danych przez okres przedawnienia roszczeń, również w przypadku, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu Skarżącego oraz SKOK w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te uprawniają Skarżącego i SKOK do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami.

W świetle powyższych zarzutów, na podstawie art. 145 § 1 pkt 1 lit. a oraz c P.p.s.a. wniesiono o uchylenie zaskarżonej decyzji w całości.

Spółdzielcza Kasa Oszczędnościowo-Kredytowa im. [...] w [...] w swojej skardze zarzuciła zaskarżonej decyzji naruszenie:

1. przepisu art. 7 w związku z przepisem art. 77 i przepisem art. 80 K.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało nakazem usunięcia danych osobowych M. U. przez Skarżącą oraz Biuro Informacji Kredytowej w zakresie wskazanym w zaskarżonej decyzji;

2. przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. przepisu art. 7b K.p.a., polegające na zaniechaniu zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; naruszenie prawa materialnego, które miało wpływ na wynik sprawy: 1. przepisu art. 6 ust. 1 lit. b, c oraz f Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO) w związku z art. 105a Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. b, c oraz f RODO w związku z art. 105a Prawa 1 h. bankowego, podczas gdy Skarżąca wykazuje cel przetwarzania danych osobowych polegający na analizie danych podanych we wnioskach kredytowych i analizie zapytań kredytowych złożonych w BIK w określonym czasie w celu oceny zdolności kredytowej i ryzyka kredytowego;

3. przepisu art. 6 ust. 1 lit. b, c oraz f RODO w związku z art. 106d Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust 1 lit b, c oraz f RODO w związku z art. 106d Prawa bankowego, podczas gdy Skarżąca wykazuje cel przetwarzania danych osobowych polegający na analizie danych podanych we wnioskach kredytowych i analizie zapytań kredytowych złożonych w BIK w określonym czasie w celu wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d Prawa bankowego;

4. przepisu art. 6 ust. 1 lit. b, c oraz f RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz. U. z 2020 r. poz. 971, dalej: "ustawa AML"), polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. b, c oraz f RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy AML, podczas gdy przepisy te nakładają na spółdzielcze kasy oszczędnościowo-kredytowe i BIK obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych;

5. przepisu art. 36 ust. 2 ustawy o spółdzielczych kasach oszczędnościowo-kredytowych w zw. z przepisem § 64 ust. 2 Statutu Kasy [...] w zw. z przepisem art. 70 Prawa bankowego polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. b, c oraz f RODO w zw. przepisem art. 105a ust. 1 Prawa bankowego podczas, gdy Skarżąca wykazuje cel przetwarzania danych osobowych polegający na korzystaniu z bazy danych utworzonej przez BIK, będącego również stroną tego postępowania, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego;

6. przepisu, art. 6 ust. 1 lit. b, c oraz f RODO w związku z Rekomendacją A-SKOK (rekomendacja 12) Komisji Nadzoru Finansowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. b, c oraz f RODO w związku z Rekomendacją A-SKOK Komisji Nadzoru Finansowego, podczas gdy przepisy tej rekomendacji nakładają na spółdzielcze kasy oszczędnościowo-kredytowe obowiązek każdorazowego korzystania przez kasę z zewnętrznych baz danych, w tym w szczególności międzybankowych baz danych budowanych przez instytucje, o których mowa w art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe. Kasa powinna, gdy to jest uzasadnione, korzystać z danych dostępnych w bazach danych gospodarczych, czyli przede wszystkim z danych Biura Informacji Kredytowej Powyższe naruszenia miały wpływ na wynik sprawy, gdyż na skutek nieuwzględnienia przez Organ administracji założonego przez Skarżącego celu przetwarzania danych osobowych jako uzasadniającego takie przetwarzanie została wydana zaskarżona decyzja.

W świetle powyższych zarzutów, na podstawie art. 145 § 1 pkt 1 lit. a oraz c PPSA wniosła o uchylenie zaskarżonej decyzji w całości.

W odpowiedzi na skargi organ wniósł o ich oddalenie.

W aktach sądowych zalega ponadto replika BIK na odpowiedź na skargę oraz odpowiedź organu na ową replikę, które to pisma procesowe co do zasady powielają wcześniejsze stanowiska stron.

Nadto w piśmie procesowym z dnia [...] lutego 2022 r. BIK wskazał, że w ostatnich miesiącach, w Wojewódzkim Sądzie Administracyjnym w Warszawie (dalej: "WSA" lub "Sąd") zapadło kilka wyroków uchylających decyzje Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" lub "Organ") w sprawach, z których dwie dotyczyły takiego samego stanu faktycznego co niniejsza sprawa, a w dwóch Sąd uznał identyczne, jak w niniejszej sprawie, zarzuty: 1. wyrok WSA z dnia 28 września 2021 r. sygn. akt: II SA/Wa 474/21, uchylający decyzję Prezesa UODO nakazującą BIK usunięcie danych o niezrealizowanym zapytaniu kredytowym (dalej: "Wyrok wrześniowy"), 2. wyrok WSA z 29 października 2021 r. sygn. akt: II SA/Wa 506/21, uchylający decyzję Prezesa UODO nakazującą BIK usunięcie danych

o niezrealizowanym zapytaniu kredytowym (dalej: "Wyrok październikowy"), 3. wyrok WSA z 10 listopada 2021 r. sygn. akt: II SA/Wa 868/21, uchylający decyzję Prezesa UODO nakazującą usunięcie danych byłego klienta banku, (dalej: "Wyrok listopadowy")', 4. wyrok WSA z dnia 13 grudnia 2021 r. sygn. akt: II SA/Wa 1528/21, uchylający decyzję Prezesa UODO nakazującą usunięcie danych byłego klienta banku (dalej: "Wyrok grudniowy").

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

zgodnie z treścią przepisu art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r., poz. 137) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należało, iż nie narusza ona prawa.

Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy BIK i SKOK mogły przetwarzać dane osobowe osoby fizycznej, pozyskane dla oceny zdolności kredytowej i analizy ryzyka kredytowego, po dokonaniu takiej oceny i analizy oraz w sytuacji, gdy nie doszło w ogólne do zawarcia umowy kredytowej z osobą fizyczną, której dane pozyskano dla dokonania omawianej oceny i analizy.

W ocenie składu orzekającego na w/postawione pytanie należało udzielić negatywnej odpowiedzi.

Rozwijając powyższą konkluzję przede wszystkim przywołania wymagały przepisy ustawy Prawo bankowe.

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane z zastrzeżeniem art. 104, 105 i 106-106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Zgodnie zaś z art. 105a ust. 4 Prawa bankowego, Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013.

Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust.3, może być wykonywane, przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania.

Z przywołanych wyżej regulacji ustawowych wynika w sposób oczywisty, że przetwarzanie omawianych danych możliwe jest w dwóch sytuacjach:

- kiedy dokonywana jest analiz ryzyka i ocena zdolności kredytowej (przed zawarciem umowy kredytu)

- w trakcie trwania umowy kredytu i po jej wygaśnięciu (przez określony w ustawie czas).

Przepisy prawa bankowego nie zezwalają zaś na przetwarzanie omawianych danych osobowych po zakończeniu dokonywania oceny zdolności kredytowej i zakończeniu dokonywania analizy ryzyka – w sytuacji, gdy nie doszło do powstania stosunku zobowiązaniowego wynikającego z zawarcia umowy kredytu.

Przenosząc powyższe na realia niniejszej sprawy jako uprawniona jawiła się konkluzja, że SKOK i BIK były uprawnione do przetwarzania spornych danych wyłącznie w czasie, gdy dokonywano oceny zdolności kredytowej rzeczonej osoby fizycznej i analizy ryzyka udzielenia jej kredytu.

W okresie po zakończeniu dokonywania owej analizy i oceny, wobec nie zawarcia umowy kredytu, odpadła zaś przesłanka legalizująca przetwarzanie spornych danych osobowych.

Powyższa konkluzja pozostaje w zgodzie z akceptowaną w pełni przez tut. Sąd ugruntowaną linią orzeczniczą Sądów administracyjnych, której przykładem jest m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań."

W świetle powyższego, w ocenie tut. Sądu organ postąpił prawidłowo, nie dopatrując się istnienia po stronie SKOK i BIK przesłanki legalizującej przetwarzanie danych osobowych (art.6 ust.1 RODO) i w konsekwencji nakazując usunięcie danych, do których przetwarzania ani SKOK ani BIK nie mają obecnie podstawy prawnej.

Co się tyczy zarzutów skarg, to z uwagi na realia faktyczne i prawne, jak też z uwagi na bezrefleksyjne pomijanie przez skarżących kluczowej dla sprawy okoliczności braku zawarcia umowy kredytu, nie mogły zostać uwzględnione.

Przede wszystkim, w ocenie tut. Sądu organ w sposób wyczerpujący zebrał pełny materiał dowodowy i poprawnie ustali stan faktyczny sprawy (zarzut nr 1 BIK).

Do zarzutu nr 2 skargi BIK nie sposób jest zaś się odnieść w sytuacji, gdy pozostawał de facto w oderwaniu od regulacji prawnych obowiązujących w RP. Nawet sam skarżący nie przywołał przepisów, które w jego mniemaniu dawałyby organowi prawną możliwość zwracania się w badanej sprawie o opinię, do Komisji Nadzoru Finansowego. Nadto należy mieć na względzie to, że instytucja ta (KNF) nie jest i nie była stroną niniejszego postępowania, nie posiada statusu np. biegłego sądowego a żadne przepisy prawa nie przewidują nadrzędności opinii KNF nad powszechnie obowiązującymi przepisami prawa.

Chybiony jest też zarzut nr 3 i 4 skargi BIK gdyż brak jest prawnego związania Prezesa Urzędu Ochrony Danych Osobowych wynikami kilka lat wcześniejszej kontroli przeprowadzanej przez inny organ tj. Generalnego Inspektora Ochrony Danych Osobowych i do tego w innym stanie prawnym. Nie sposób też abstrahować od tego, że niniejsze postępowanie ma charakter odrębny od przywołanego w skardze postępowania kontrolnego GIODO. Nadto – czego zdaje się nie zauważać skarżący – tut. Sąd w niniejszym postępowaniu nie jest uprawniony do oceny merytorycznej przywołanych wyników kontroli GIODO, gdyż dokonując takiej oceny wyszedłby poza zakres przedmiotowy rozpoznawanej skargi.

Niezależnie od powyższego, ewentualna zmiana poglądu organu uzasadniona względami praworządności i zgodności rozstrzygnięć z prawem, nie stanowi naruszenia art. 8 K.p.a. (patrz wyrok NSA z 1.03.2018 r. sygn. akt II OSK 2028/17).

Odnosząc się do zarzutu nr 5 skargi BIK po raz kolejny należało podkreślić pomijaną przez skarżącego okoliczność, ze w efekcie omawianego zapytania kredytowego, nie doszło do zawarcia umowy kredytowej. Stąd BIK i SKOK utraciły prawo do przetwarzania danych po dokonaniu oceny zdolności kredytowej i analizy ryzyka.

Odnosząc się do zarzutu nr 6 skargi BIK należy zauważyć, ze przywołane rekomendacje – choćby były nawet jak najbardziej słuszne – nie wyłączają obowiązku stosowania przepisów powszechnie obowiązującego prawa, regulujących materię ochrony danych osobowych, ani przepisów prawa bankowego.

Nadto nie sposób pomijać faktu, że "scoring" kredytowy to metoda oceny wiarygodności podmiotu - zwykle osoby fizycznej lub przedsiębiorstwa - ubiegającego się o kredyt bankowy. Polega na określeniu wiarygodności kredytowej klienta na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyty i je spłacają (patrz wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 sierpnia 2017 r. sygn. akt II SA/Wa 2221/16). Skoro więc skarżąca po złożeniu zapytania kredytowego nie zawarła umowy kredytowej ze SKOK, to jako uprawniona jawi się konkluzja, iż w przedmiotowej sprawie skarżący powołując się na "scoring", czynią to w oderwaniu od stanu faktycznego sprawy. Zapytanie objęte niniejszą sprawą nie byłoby bowiem uwzględniane przy "scoringu".

Formułując zarzut nr.7 autor skargi BIK pominął zaś okoliczność, iż rekomendacje KNF nie przewidują możliwości czy konieczności przetwarzania danych osobowych w zakresie zapytań kredytowych dotyczących przypadku późniejszego niż zawierania umowy kredytowej z klientem, którego dotyczyło zapytanie.

W zarzucie nr.8 skargi BIK strona po raz kolejny uporczywie pomija okoliczność nie zawarcia umowy kredytu z osobą, której dotyczyło sporne zapytanie i w wyniku tego nie zauważa, że dane objęte skarżoną decyzją mogą co najwyżej obrazować hipotetyczną zdolność kredytową danej osoby fizycznej, a nie zdolność faktyczną.

Odpowiadając na zarzut nr 9 skargi BIK ponownie należało przypomnieć stronie, ze możliwość przetwarzania danych ograniczona jest do okresu dokonywania analizy i oceny zdolności kredytowej i nie wykracz poza ten czas. Nadto w sytuacji gdy nie zawarto umowy kredytu, nie mogło dojść do potencjalnego przestępstwa o jakim mowa w art.106 d Prawa bankowego.

W realiach faktycznych sprawy, zarzut nr 10 skargi BIK pozostawał w oderwaniu od tych realiów zwłaszcza w sytuacji, gdy sam skarżący nie udowodnił istnienia żadnej z przesłanek opisanych w przywołanych w niniejszym zarzucie przepisów Prawa bankowego czy ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

Przy zarzucie nr 11 skargi BIK należało zwrócić uwagę na to, że przepisy RODO i ustawy o ochronie danych osobowych nie zezwalają na przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą one być ewentualnie przydatne w bliżej nieokreślonej przyszłości.

Sformułowanie zarzutu nr 12 skargi BIK po raz kolejny budzi poważne wątpliwości co do znajomości przez autora skargi stanu faktycznego sprawy, skoro pomimo niekwestionowanego faktu, iż w wyniku zapytania kredytowego z [...] sierpnia 2019 r. nie doszło do zawarcia umowy kredytu, skarżący stara się usprawiedliwiać potrzebę przetwarzania spornych danych obowiązkiem wyjaśniania podstaw decyzji kredytowych.

Odnosząc się do zarzutu nr 13 skargi BIK tut. Sąd przychyla się do stanowiska organu, iż przyjęcie poglądu BIK skutkowałoby tym, że dane osobowe skarżącej mogłyby być przetwarzane w nieskończoność, gdyż upływ terminu przedawnienia nie uniemożliwia skutecznego dochodzenia roszczeń skoro nie powoduje ich wygaśnięcia (wywołuje przecież wyłącznie zmianę w sferze zarzutów procesowych).

W nawiązaniu do argumentów przywołanych przez BIK w piśmie procesowym z [...] lutego 2022 r. wyjaśnić należało, iż nie mogły one wpłynąć na rozstrzygnięcie.

Pomijając już fakt, że w polskim systemie prawnym nie obowiązuje zasada związania stanowiskami wyrażonymi przez Sądy w bliźniaczo tematycznie sprawach, jak też pomijając fakt że przywołane wyroki nie mają waloru prawomocności (nie sposób więc mówić o obowiązującej linii orzeczniczej), to przede wszystkim powołany wyrok "wrześniowy" nie dotyczył tożsamego stanu faktycznego, gdyż wydany był w sytuacji, gdy jedna osoba fizyczna złożyła wiele wniosków kredytowych. W sprawie objętej niniejszą skargą mieliśmy zaś do czynienia wyłącznie z jednym wnioskiem kredytowym.

Również powołany wyrok "październikowy" dotyczył innego stanu faktycznego tj. sytuacji gdy doszło do odmowy udzielenia kredytu.

Kolejne zaś orzeczenia dotyczą jeszcze odleglejszego od niniejszego stanu faktycznego tj. sytuacji gdy zawarta była umowa kredytu.

Co się tyczy zarzutów sformułowanych w skardze SKOK, to w sytuacji gdy dotychczas zaprezentowane motywy wyroku Sądu stanowią już reakcję na te zarzuty, nie zachodziła konieczność ponownego przywoływania podniesionych już argumentów.

W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329).