Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Olga Żurawska-Matusiak Sędziowie: sędzia NSA Rafał Stasikowski (sprawozdawca) sędzia del. WSA Ireneusz Dukiel Protokolant: asystent sędziego Piotr Rzekiecki po rozpoznaniu w dniu 15 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej I. z siedzibą w K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 14 grudnia 2022 r. sygn. akt II SA/Wa 949/22 w sprawie ze skargi I. z siedzibą w K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 30 marca 2022 r. nr DS.523.2612.2021.FT.UD w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od I. z siedzibą w K. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 500 (pięćset) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z 14 grudnia 2022 r., II SA/Wa 949/22, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę I. z siedzibą w K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 30 marca 2022 r., nr DS.523.2612.2021.FT.UD, w przedmiocie przetwarzania danych osobowych.

Wyrok zapadł w następujących okolicznościach faktycznych i prawnych.

G. K. wniosła skargę do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "organ", "PUODO") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez I. z siedzibą w K. (dalej: "I.", "Bank") polegające na przetwarzaniu jej danych osobowych w zakresie zapytania kredytowego niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym w B. S.A. z siedzibą w W. (dalej: "B. S.A."), oraz na odmowie spełnienia jej żądania w zakresie usunięcia przez Bank informacji o tym zapytaniu. Wniosła o nakazanie Bankowi usunięcia jej danych osobowych.

W wyjaśnieniach Bank wskazał, że dane osobowe wnioskodawczyni pozyskał bezpośrednio od niej w związku ze złożonym wnioskiem o udzielenie kredytu detalicznego nr [...] z 9 lutego 2021 r. w zakresie: imię, nazwisko, PESEL, nazwisko rodowe matki, data urodzenia, płeć, kraj urodzenia, miejsce urodzenia, obywatelstwo, adres zamieszkania, adres korespondencyjny, numer telefonu komórkowego, seria i numer dowodu osobistego, data ważności dowodu osobistego, numer telefonu komórkowego, status podatkowy, status dewizowy, stan cywilny, wykształcenie, status mieszkaniowy, liczba osób w gospodarstwie, koszty gospodarstwa domowego, inne miesięczne obciążenia finansowe, reżim majątkowy małżonków, dane pracodawcy (nazwa zakładu pracy, NIP, branża, rodzaj miejsca pracy), zawód wykonywany, miesięczny dochód netto, okres osiągania dochodu, tytuł osiąganego dochodu.

Bank podniósł, że podstawę prawną przetwarzania ww. danych osobowych stanowił art. 6 ust. 1 lit. c) RODO w zw. z art. 70 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. 2021 poz. 2439; dalej "u.P.b." lub "Prawo bankowe"), a w dacie złożenia wyjaśnień - na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1 Prawa bankowego oraz art. 118 kodeksu cywilnego. Celem przetwarzania tych danych jest możliwość obrony swoich praw w przypadku zaskarżenia przez nią decyzji kredytowej na zasadach ogólnych sformułowanych w powszechnie obowiązujących przepisach prawa. Bank wskazał, że dane osobowe wnioskodawczyni dotyczące ww. zapytania będzie przetwarzał przez okres 3 lat od wydania decyzji kredytowej tj. do 9 lutego 2024 r. Bank wskazał również, że przetwarza dane osobowe w związku ze złożonymi reklamacjami oraz że dane te będą przetwarzane w celu archiwalnym, na podstawie art. 6 ust. 1 lit. c RODO w związku z art. 118 k.c. przez okres 6 lat, liczonym odpowiednio od daty rozpatrzenia reklamacji złożonych w dniach: 8 marca 2021 r. oraz 26 kwietnia 2021 r. Bank wyjaśnił także, że przekazał do B. dane osobowe wnioskodawczyni (w zakresie: imię i nazwisko, nr PESEL, rodzaj dokumentu tożsamości) dotyczące zapytania kredytowego z 9 lutego 2021 r. w celu oceny jej wiarygodności kredytowej oraz analizy ryzyka kredytowego. Podstawą prawną przekazania ww. danych był art. 6 ust 1 lit. c RODO w zw. z art. 70 ust. 1 Prawa bankowego oraz art. 6 ust. 1 lit. a RODO w związku z wyrażona zgodą na przygotowanie indywidulanej oferty kredytowej. Dodał, że otrzymał od wnioskodawczyni żądanie z 8 marca 2021 r. zaprzestania przetwarzania jej danych osobowych, w tym ich przetwarzania w B.. Pismem z 22 marca 2021 r. Bank odmówił realizacji ww. żądania. Na żądanie Prezesa UODO Bank nie wskazał toczących się postępowań na skutek wzajemnych roszczeń Banku i wnioskodawczyni.

B. S.A. w złożonych wyjaśnieniach wskazał, że pozyskał dane osobowe wnioskodawczyni od Banku na podstawie art. 105 ust. 4, art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i B. S.A. umowy i przetwarza dane skarżącej w zakresie zapytania kredytowego z 9 lutego 2021 r. Wskazał również, że przetwarza dane pochodzące z zapytań kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. B. S.A. wyjaśnił, że będzie przetwarzał dane osobowe skarżącej w związku ze złożonym zapytaniem kredytowym w celu budowy modeli scoringowych tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do B. oraz w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych — do momentu przedawnienia potencjalnych roszczeń wynikających z zapytania; oraz z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. Jednocześnie B. S.A. wskazał, że skarżąca nie wystąpiła z żądaniem opartym o art. 15 RODO, ani nie wystąpiła do niego z żadnym konkretnym roszczeniem, jak również B. S.A. nie wystąpił wobec wnioskodawczyni i nie zamierza występować z takim roszczeniem.

Decyzją z 30 marca 2022 r. Prezesa UODO (DS.523.2612.2021.FT.UD.164737), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735; dalej "k.p.a."), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781; dalej "u.o.d.o."), art. 6 ust 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: "RODO"):

- w pkt 1. decyzji nakazał I. usunięcie danych osobowych G. K. w zakresie zapytania kredytowego z 9 lutego 2021 r. niezakończonego udzieleniem kredytu;

- w pkt 2. decyzji nakazał B. S.A. usunięcie danych osobowych G. K. w zakresie zapytania kredytowego z 9 lutego 2021 r. niezakończonego udzieleniem kredytu, przekazanych przez I. z siedzibą w K..

Prezes UODO wyjaśnił, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO. Proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Organ wskazał, że podstawą prawną przetwarzania danych osobowych klientów przez Bank i B. S.A. może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Zauważył, że pomiędzy Bankiem a wnioskodawczynią nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 -6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych. Podkreślenia również wymaga, że celem przetwarzania danych osobowych skarżącej była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawczyni został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu.

W ocenie organu za podstawę przetwarzania danych osobowych nie mogą być również uznane wskazane przez B. S.A. cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Podkreślił, że art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Podkreślił, że w sprawie nie doszło do zawarcia umowy kredytu, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie.

Prezes UODO przytoczył treść art. 106d Prawa bankowego i wyjaśnił, że zebrany w sprawie materiał dowodowy nie wykazał, by B. S.A. mógł przetwarzać dane osobowe wnioskodawczyni dotyczące zapytania kredytowego z 9 lutego 2021 r. na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, albowiem w toku prowadzonego postępowania nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W szczególności nie wykazał, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazał nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3 tej ustawy.

Odnosząc się natomiast do powołanego zarówno przez Bank, jak i przez B. celu ustalenia, dochodzenia lub obrony roszczeń – organ wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby wnioskodawczyni wystąpiła z jakimkolwiek roszczeniem wobec tych podmiotów, które uzasadniałoby ich uprawnienie do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez nią tego roszczenia. Podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W ocenie Prezesa UODO brak jest podstaw dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i B. S.A.

Za bezpodstawne organ uznał ponadto przyjęcie, że B. S.A. jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z zapytaniem złożonym przez Bank 9 lutego 2021 r., w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Skoro bowiem wnioskodawczyni zażądała usunięcia jej danych osobowych na podstawie art. 17 ust. 1 RODO, należy przyjąć, że nie jest zainteresowana realizacją prawa dostępu do przetwarzanych jej danych osobowych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji.

Skargę na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego

w Warszawie wniósł Bank.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Oddalając skargę, Sąd pierwszej instancji wskazał, że w sprawie jest niesporne, że Bank pozyskał dane osobowe uczestnika G. K. w związku ze złożeniem zapytania kredytowego z 9 lutego 2021r. W przypadku tym nie doszło do zawarcia umowy kredytu. Niesporne jest również, że Bank był uprawniony do przetwarzania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Skoro jednak nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych. Znajduje to potwierdzenie w treści art. 105a ust. 1 u.P.b. Sąd przytoczył art. 105a ust. 2 oraz ust. 3 – 6 u.P.b. Wskazał, że przesłanki zawarte w art. 105a ustawy dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie przez B. danych osobowych potencjalnego klienta. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku braku zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań.

Zdaniem Sądu pierwszej instancji w niniejszej sprawie celem przetwarzania danych osobowych była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank tejże oceny powyższy cel przetwarzania danych osobowych został zrealizowany i przy braku zawarcia stosownej umowy brak jest podstaw prawnych do kontynuowania tego procesu. Trafne jest zatem stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO.

W ocenie tego Sądu przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 u.P.b. Ponadto ww. przepis nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. Z kolei art. 70 Prawa bankowego stanowi wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Sąd podkreślił, że art. 105 ust. 4 u.P.b. sam w sobie nie może stanowić podstawy prawnej przetwarzania danych osoby ubiegającej się o kredyt. W treści tego przepisu nie można zatem poszukiwać prawnie usprawiedliwionego interesu w przetwarzaniu danych osobowych w sytuacji jak w niniejszej sprawie.

Sąd pierwszej instancji przytoczył art. 70a ust. 1 i 2 u.P.b. Wskazał, że brak jest podstaw dla przyjęcia, że B. jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z ww. przepisów. Uczestnik postępowania wykazał w sposób jednoznaczny wolę usunięcia danych, zatem przyjąć należy, że nie jest zainteresowany realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej. Natomiast analizowane przepisy art. 70, art. 70a, art. 105 ust. 4, art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy. Elementu tego nie można się również doszukać dyspozycji art. 9b Prawa bankowego oraz art. 2 ustawy z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym (Dz. U. z 2022 r. poz. 660).

Sąd ten powołał się na art. 33 ust. 2 i 3 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2022 r., poz. 593 ze zm.; dalej "ustawa AML"), a także art. 34 ust. 1 pkt 4, art. 36 ust. 1 oraz art. 49 ust. 1 i 2 tej ustawy. Podniósł, że powyższe przepisy dotyczą stosowania środków bezpieczeństwa finansowego wobec klientów instytucji (banków) w ramach prowadzonych stosunków gospodarczych. Nie odnoszą się natomiast do sytuacji, w której przetwarzane są dane z wniosków kredytowych, pomimo nienawiązania stosunku gospodarczego poprzez zawarcie umowy kredytowej.

Zdaniem Sądu za prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Zebrany w sprawie materiał dowodowy nie wykazał, aby uczestnik postępowania wystąpił z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem tego roszczenia. Bank nie wskazał także na istnienie roszczeń, których dochodzi od G. K..

W ocenie Sądu organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy. Podniósł, że PUODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu PUODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Wskazał, że organ prawidłowo nakazał usunięcie przez Bank danych osobowych uczestnika postępowania zawartych w zapytaniu kredytowym. Nie ma bowiem podstawy prawnej aby dane te znajdowały się w zbiorze danych Banku. Decyzja POUDO w zakresie pkt 1 była więc wykonalna i zasadna prawnie.

Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 1457 ze zm.; dalej "p.p.s.a.").

Skargę kasacyjną od powyższego wyroku wywiódł Bank, zaskarżając wyrok

w całości. Wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpatrzenia Wojewódzkiemu Sądowi Administracyjnemu

w Warszawie ewentualnie o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi. Nadto wniósł o rozpoznanie sprawy na rozprawie oraz o zasądzenie zwrotu kosztów postępowania. Zaskarżonemu wyrokowi zarzucił:

1. Naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, a to:

1) naruszenie art.133 § 1 p.p.s.a. w zw. z oraz 151 p.p.s.a. w zw. z art.107 § 1 pkt 5 k.p.a. i art. 8 ust. 2 Konstytucji RP poprzez zaniechanie rozpatrzenia istoty sprawy albowiem z akt sprawy wiadomo, że istotą skargi uczestniczki złożonej do Prezesa Urzędu było wykreślenie przez niezależnego administratora - B. S.A. danych uczestniczki z bazy prowadzonej przez B. S.A., przez co ograniczony miał być dostęp innych banków do informacji o tym, że uczestnika złożyła wniosek o kredyt, ale umowy nie zawarto. W tych okolicznościach zaskarżony wyrok utrzymujący w mocy decyzję Prezesa UODO, której rozstrzygnięcie jest nieprecyzyjne i dotyczy podstaw prawnych przetwarzania danych przez Bank, zdaniem skarżącego, bezpodstawnie ograniczając prawo Banku do przetwarzania danych w celach archiwalnych i naruszając, wymienione precyzyjnie w poniższych zarzutach, powszechnie obowiązujące przepisy prawa;

2) naruszenie art.133 § 1 p.p.s.a. w zw. z oraz 151 p.p.s.a. w zw. z art.107 § 1 pkt 5 k.p.a. i art. 8 ust. 2 Konstytucji RP poprzez zaniechanie rozpatrzenia zarzutu 1, 4, w których to zarzutach Bank wskazywał, że rozstrzygnięcie decyzji będącej przedmiotem zaskarżonego wyroku jest - zależnie od zrozumienia rozstrzygnięcia decyzji – albo niewykonalne albowiem dokument zapytania kredytowego został usunięty albo całkowicie niejasne (nieprecyzyjne) albowiem uzasadnienie zaskarżonego wyroku oraz utrzymanej nim w mocy decyzji Prezesa UODO, powołując także przepisy kodeksu cywilnego o przedawnieniu lub Rozporządzenia UE 575/2013, dotyczy także nakazu usunięcia wszystkich danych uczestniczki, które Bank posiada. Nie jest dopuszczalnym utrzymywanie w mocy decyzji, której sentencja nie jest zgodna z uzasadnieniem i nie określa precyzyjnie zachowania wymaganego danym orzeczeniem;

3) naruszenie art.133 § 1 p.p.s.a. w zw. z oraz 151 p.p.s.a. w zw. z art.107 § 1 pkt 5 k.p.a. i art. 8 ust. 2 Konstytucji RP poprzez zaniechanie rozpatrzenia zarzutu 2, w skardze Banku, w którym to zarzucie wykazano, że rozstrzygnięcie decyzji będącej przedmiotem zaskarżonego wyroku nie jest oparte o art. 6 RODO. Wyrok w ogóle pominął analizę art.6 i art. 17 RODO, przy czym jedynie spełnienie wymogów ostatnio przywołanego przepisu mogłoby być podstawą prawną nakazu usunięcia danych, skoro z akt sprawy wiadomo, że zebrano je legalnie, w celu rozpatrzenia wniosku kredytowego, że ten cel był jasny i wiadomy stronom, a istotnym przedmiotem skargi złożonej przez uczestniczkę do Prezesa Urzędu było wykreślenie przez niezależnego administratora - B. S.A. - danych uczestniczki z prowadzonej przez niego bazy, co miało ograniczyć dostęp innych banków do informacji o wniosku o kredyt;

4) naruszenie art.133 § 1 p.p.s.a. w zw. z oraz 151 p.p.s.a. w zw. z art.107 § 1 pkt 5 k.p.a. i art. 7 i 8 ust. 2 Konstytucji RP oraz art. 105 ust. 4 u.P.b. w związku z przepisami części trzeciej Rozporządzenia UE 575/2013 i oraz art.118 k.c. poprzez zaniechanie rozpatrzenia zarzutów skargi skarżącego kierowanej do Wojewódzkiego Sądu Administracyjnego w zakresie zarzutów nr 1-3, lub też w istocie ich pominięcie, albowiem, zdaniem Banku, nie sposób uznać za umotywowanie rozstrzygnięcia jedynie krótki opinii wyrażonych w uzasadnieniu zaskarżonego wyroku, które odnoszą się do przetwarzania danych przez Bank na mocy wskazanych przepisów Rozporządzenia 575/2013. Sąd pierwszej instancji właściwie wykluczył przetwarzanie danych w celach archiwalnych, jeśli do umowy nie doszło pomijając przy tym także przepisy kodeksu cywilnego o przedawnieniu w tym art.117 § 2 k.c. przez co naruszono art.6 ust. 1 lit. f) RODO;

5) Sąd pierwszej instancji nie rozstrzygnął też wniosku o wstrzymanie wykonania decyzji, w każdym razie Bank nie otrzymał tego postanowienia rozstrzygającego jego wniosek w tym zakresie.

2. Naruszenie przepisów prawa materialnego:

1) przez błędną wykładnię art.6 ust. 1 lit. e) RODO oraz art.49 ust. 1 i ust. 2 ustawy AML w związku z art. 34 ust. 1, w tym art.34 ust. 1 pkt 1, pkt 2,pkt 3, art.34 ust. 3 i art.36 i art.37 oraz w związku z art. 2 ust. 2 pkt 10 i art.35 ust.1 pkt 1 ustawy AML, albowiem środki bezpieczeństwa finansowego (w tym immanentnie związane z danymi osobowymi: identyfikacja i weryfikacja) są wykonywane także podczas nawiązywania stosunków gospodarczych tj. przed zawarciem umowy, a nie wyłącznie po ich nawiązaniu, a ww. przepisy nie tylko nakazują je wykonywać na tym etapie ale także dokumentować ich wykonanie: odmienna wykładnia doprowadziłaby do naruszenia ww. przepisów ustawy AML, albowiem w przypadku braku możliwości wykonania choćby jednego ze środków bezpieczeństwa finansowego (czyli m.in. braku możliwości identyfikacji, weryfikacji czy oceny stosunków gospodarczych ustalenia ich celu i zamierzonego charakteru), zgodnie z art.41 ust 1 pkt 1 ustawy AML, Bank jako podmiot obowiązany musi odmówić zawarcia umowy, a w przypadku, gdy podejrzewa przestępstwo prania pieniędzy lub finansowania terroryzmu - ma obowiązek zawiadomić Generalnego Inspektora informacji Finansowej o tym podejrzeniu (vide art.74 ustawy AML). Wobec powyższego przepis art.49 ust. 1 i 2 ustawy należy rozumieć jako zobowiązujący także do przetwarzania danych (dokumentów) przechowywanych w celu wykonania obowiązku udokumentowania wykonania środków bezpieczeństwa finansowego w rozumieniu art. 34 ustawy AML przed zawarciem umowy.

2) przez błędną wykładnię art.6 ust. 1 lit. f RODO w zw. z art.118 k.c. i niezastosowanie art. 6 ust. 1 lit. f RODO w związku z art.117 § 2 k.c. poprzez uznanie, że istnienie prawnie uzasadnionego interesu Banku do przetwarzania danych osobowych w okresie archiwizacji:

a) musi związać się z określonym, a co więcej podniesionym przeciwko drugiej stronie roszczeniem (cywilnoprawnym), co jest wymogiem wewnętrznie sprzecznym i narusza art. 6 ust. 1 lit. f) RODO, albowiem czym innym jest cel przetwarzania danych związanych z ustaleniem lub dochodzeniem roszczenia, a czym innym jest przetwarzanie danych w celu archiwalnym;

b) poprzez błędną wykładnię terminu "roszczenie" w kontekście "prawnie uzasadnionego interesu" tj. ograniczenie rozumienia terminu "roszczenie" jedynie w znaczeniu roszczenia cywilnoprawnego i materialno-prawnego (przy czym Sąd wymaga nadto "rzeczywistego zamiaru jego dochodzenia") podczas, gdy termin "roszczenie" ma w RODO własne znaczenie, odnoszące się zarówno do roszczeń materialnoprawnych, ale nie wyłącznie cywilnoprawnych, jak również roszczeń procesowych i to dotyczących różnych postępowań zarówno sądowych, administracyjnych jak i pozasądowych;

c) poprzez pominięcie, że w tym okresie (archiwizacyjnym) dane są przetwarzane na mocy art.6 ust. 1 lit. f) RODO, a nadto bezzasadne przyjęcie, że przetwarzanie danych w tym okresie miałoby oznaczać przetwarzanie danych "w nieskończoność"; taka wykładnia narusza art.6 ust. 1 lit. f) RODO, albowiem z akt sprawy wynika, że Bank przyjął rozumienie "prawnie uzasadnionego interesu", jako działania , które nie narusza praw i wolności osoby, której dane dotyczą i oznacza przechowywanie danych prze ściśle określony czas. W zakresie okresu przetwarzania danych wykładnia Sądu pierwszej instancji zupełnie pomija art.117 § 2 k.c., zgodnie z którym nie można domagać się zaspokojenia roszczenia przeciwko konsumentowi po upływie okresu przedawnienia;

3) przez błędną wykładnię art. 6 ust. 1 lit. f RODO w związku z art. 118 k.c. i niezastosowanie art.117 § 2 k.c., tj. uznanie, że skarżący nie legitymuje się prawnie usprawiedliwionym interesem przetwarzania danych, nie wskazując przy tym jakie konkretne interesy, prawa lub wolności uczestnika zostały naruszone lub miałby przeważać nad uprawnieniem skarżącego do przetwarzania danych osobowych w okresie archiwizacji. Bez oceny czy też zważenia konkretnych interesów, praw lub wolności stron można orzec tylko, że zarówno uprawnienia skarżącego do archiwizacji danych i dokumentów w nienadmiernych okresach archiwizacji jak i uprawnienia uczestnika do ochrony swych danych - są równoważne;

4) przez błędną wykładnię art.6 ust. 1 lit. f) RODO w zw. z art. 105 ust. 4 u.P.b. poprzez całkowicie nieumotywowane uznanie, że przepis art. 105 ust. 4 u.P.b. "...nie stanowi dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem" , która to wykładnia stoi w zupełnej sprzeczności z ww. przepisem art. 105 ust. 4, który przecież upoważnia do gromadzenia, przetwarzania i udostępniania bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w

części trzeciej rozporządzenia nr 575/2013;

5) przez błędną wykładnię art. 6 ust. 1 lit. f) RODO w związku z art.105 ust. 4 Prawa bankowego tj. nieuzasadnione twierdzenie, że przepisy " art.70, art.70a, 105 ust.4, art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy", co wskazuje na całkowite pominięcie fundamentalnej funkcji przepisu art.105 ust. 4 Prawa bankowego polegającej na przetwarzaniu informacji o zapytaniach kredytowych przez określony czas, gdyż dla oceny zarówno analizy ryzyka kredytowego (czyli wartości systemowej), jak i zdolności kredytowej osoby wnoszącej o kredyt znaczenie ma czy osoba wnosząca o kredyt składała taki wniosek w innym banku i czy kredyt został udzielony;

6) przez błędną wykładnię art. 6 ust. 1 lit. f RODO w związku z art. 105 ust.4 Prawo bankowego odmawiając uznania, że Rekomendacje Komisji Nadzoru Finansowego (KNF), które są wydane na mocy ort 137 ust. 1 pkt 5 Prawa bankowego stanowią wykładnię przepisów prawa bankowego dokonywaną przez organ nadzorczy i zarazem wykładnię szczegółową wymogów ostrożnego i stabilnego zarządzania bankami, co oczywiście nie oznacza, że są one odrębnymi źródłami prawa ale jednocześnie oznacza, że Bank nie może bezzasadnie wykładać przepisów Prawa bankowego lub innych więżących go regulacji, w tym dotyczących analizy ryzyka kredytowego lub zdolności kredytowej nie uwzględniając tychże Rekomendacji. Ponadto Rekomendacje te mają znaczenie dla ustalenia istnienia prawnie usprawiedliwionego interesu, gdy wynika z nich nakaz przetwarzania informacji w celu analizy ryzyka kredytowego, a nie tylko (choć także) zdolności kredytowej;

7) przez błędną wykładnię art. 6 ust. 1 lit. e) RODO w związku z art. 1 i art. 3, art. 144 ust. 1 lit. d), art. 145 ust. 1, art. 170 ust. 3 lit. a), art. 171 ust. 2, art. 174, art. 176 ust.4 i ust. 5, art. 179 ust. 1 lit. a) oraz art. 181 ust. 2 Rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 - CRR, w związku z art. 105a ust. 4 oraz ust. 5 Prawa bankowego upoważniające (także) banki do przetwarzania informacji dotyczących osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, przez okres 12 lat;

8) bezpodstawne zastosowanie art. 17 ust. 1 RODO, który stanowi, że administrator ma obowiązek usunąć dane osobowe w przypadku spełnienia jednej z przesłanek wskazanych w tym przepisie podczas, gdy żadna z tych przesłanek nie została spełniona. Zdaniem Banku uczestniczce nie służy żadne roszczenie z art.17 ust. 1 RODO w sytuacji, gdy dane muszą być przetwarzane na postawie ww. przepisów prawa ani też, gdy dane mogą być przetwarzane na podstawie przesłanki z art.6 ust. 1 lit. f RODO, a uczestniczka nie wskazała żadnych określonych praw ani wolności, które miałyby zostać naruszone ani też skarżący nie zidentyfikował nadrzędnych interesów lub wolności jednostki, które miałyby zostać naruszone przez sam fakt archiwizowania danych. Zdaniem Banku żądanie uczestniczki, które czyni niemożliwym wykonanie obowiązków archiwizowania dokumentacji przewidzianych prawem krajowym lub prawem Unii jest całkowicie bezpodstawne.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje.

Stosownie do art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a., i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu, dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.

Skarga kasacyjna jest nieuzasadniona.

Skarżący kasacyjnie zarzucił zaskarżonemu orzeczeniu naruszenie zarówno przepisów prawa materialnego, jak też przepisów postępowania. W takiej sytuacji, co do zasady, jako pierwsze podlegają rozpatrzeniu zarzuty naruszenia przepisów postępowania, gdyż weryfikacja prawidłowości wykładni przepisów prawa materialnego, dokonanej przez sąd pierwszej instancji, jest możliwa jedynie w przypadku stwierdzenia braku uchybień natury procesowej, mogących mieć istotny wpływ na treść rozstrzygnięcia. W rozpoznawanej sprawie kolejność ta musi zostać odwrócona, gdyż zarzut naruszenia prawa procesowego został sformułowany w skardze kasacyjnej w taki sposób, iż jego zasadność bądź bezzasadność będzie konsekwencją zasadności bądź bezzasadności zarzutu naruszenia prawa materialnego.

Zarzuty naruszenia prawa materialnego są nieuzasadnione. Sposób sformułowania zarzutów daleki jest od paradygmatu wynikającego z przepisów art. 174 pkt 1 i 2 p.p.s.a.

Konstrukcja zarzutów z punktów od 1 do 7 dotknięta jest pewną niedoskonałością. Formułowanie podstawy kasacyjnej w taki sposób, że jeden zarzut obejmuje niespójny zestaw przepisów, które miał naruszyć Sąd pierwszej instancji, bez wskazania konkretnie na czym polega naruszenie każdej z tych norm, jest nieprawidłowe - pogląd ten wielokrotnie wyraził Naczelny Sąd Administracyjny - np. w wyrokach z 26 stycznia 2021 r., III OSK 2765/21; 18 października 2011 r., II FSK 797/10; 13 września 2011 r., II FSK 593/10; 18 maja 2011 r., II FSK 62/10 - CBOSA).

Do obowiązków autora skargi kasacyjnej należy wskazanie konkretnych przepisów prawa materialnego lub przepisów postępowania, które w jego ocenie naruszył sąd pierwszej instancji i precyzyjne wyjaśnienie, na czym polegało ich niewłaściwe zastosowanie lub błędna interpretacja, w odniesieniu do prawa materialnego, bądź wykazanie istotnego wpływu naruszenia prawa procesowego na rozstrzygnięcie sprawy przez sąd pierwszej instancji. Poprawne przytoczenie podstaw kasacyjnych nakłada na Naczelny Sąd Administracyjny, stosownie do art. 174 pkt 1 i 2 oraz art. 183 § 1 p.p.s.a., obowiązek odniesienia się do wszystkich zarzutów przytoczonych w podstawach kasacyjnych (por. uchwała NSA z 26 października 2009 r., I OPS 10/09 - CBOSA). Naczelny Sąd Administracyjny tylko wtedy może uczynić zadość temu obowiązkowi, gdy wnoszący skargę kasacyjną poprawnie określi, jakie przepisy jego zdaniem naruszył wojewódzki sąd administracyjny i na czym owo naruszenie polegało (por. podobnie wyrok NSA: z 7 stycznia 2010 r., II FSK 1289/08; wyrok NSA z 22 września 2010 r., II FSK 764/09; wyrok NSA z 16 lipca 2013 r., II FSK 2208/11 - CBOSA). W tym zakresie nie może zastąpić go Sąd drugiej instancji. W rozpoznawanej sprawie w zarzutach naruszenia prawa materialnego sformułowanych w punktach od 1 do 7 doszło do zarzucenia błędnej wykładni szeregu przepisów. Generalnie jednak, ani z treści zarzutu, ani z uzasadnienia nie jest możliwe ustalenie na czym miałby polegać błąd wykładni wszystkich przepisów przywołanych w zarzutach. Uwagi te odnoszą się w pierwszym rzędzie do zarzutów pierwszego i siódmego, które zbudowane zostały z bardzo wielu przepisów, lecz w skardze kasacyjnej nie określono na czym miałby polegać błąd ich wykładni. Wymóg ten dopełniony został zasadniczo tylko w odniesieniu do naruszenia przez błędną wykładnię przepisu art. 6 ust. 1 lit. f RODO. W tym zatem zakresie będzie możliwe odniesienie się merytoryczne do zarzutów. Jest to również przyczyna uzasadniająca łączne rozpoznanie zarzutów materialnoprawnych. Ich istota jest również ta sama. W tym zakresie (o tym szerzej poniżej) zarzucenie błędnej wykładni konkretnych przepisów prawa połączone zostało ze wskazaniem w uzasadnieniu skargi kasacyjnej na czym miał polegać błąd wykładni. Co do pozostałych przepisów (tj. tych, które nie zostały objęte istotą sporu prawnego wskazanego poniżej), a więc takich, co do których zarzucono błędną wykładnię, lecz nie wskazano na czym miałaby ona polegać, ani tym samym ich nie uzasadniono, nie jest możliwe odniesienie się do nich.

Istota zarzutów materialnych skargi kasacyjnej w tak wytyczonych granicach sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji co do uznania braku podstaw prawnych wynikających z art. 6 ust. 1 f RODO w zw. z art. 70 ust. 1, art. 105a ust. 1 i 4 ustawy Prawo bankowe (dalej u.P.b.) przetwarzania danych osobowych G. K. przez I. w K. w zakresie wynikającym z wniosku o udzielenie kredytu detalicznego z 9 lutego 2021 r. niezakończonego zawarciem umowy kredytowej i przekazania ich na mocy art. 105 ust. 4 u.P.b do systemu B.. Ocena rozbudowanych rozważań Sądu pierwszej instancji prowadzi do konkluzji, że Bank posiadał podstawę prawną przetwarzania danych osobowych klienta na etapie oceny zdolności kredytowej i analizy ryzyka kredytowego. Cel ten został zrealizowany, a skoro nie doszło do zawarcia umowy kredytowej to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych, gdyż art. 105a ust. 1 u.P.b. stanowi podstawę przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, zaś żaden przepis nie daje podstawy prawnej do dalszego przetwarzania danych w sytuacji, gdy po ocenie zdolności kredytowej i ryzyka kredytowego nie dochodzi do powstania zobowiązania. Również przepis art. 105a ust. 4 u.P.b. odnosi się do sytuacji po wygaśnięciu zobowiązania, a zatem sytuacji, gdy doszło do nawiązania relacji prawnej z klientem, lecz ogranicza cele przetwarzania do wyraźnie wskazanych w treści przepisu. Sąd pierwszej instancji uznał następnie, że przepis art. 6 ust. 1 lit c RODO nie znajduje zastosowania w sprawie. Nie wystąpiła również przesłanka przetwarzania danych, o której mowa w art. 6 ust. 1 lit. f RODO.

Naczelny Sąd Administracyjny w tym składzie podziela dokonaną przez Sąd pierwszej instancji wykładnię mających zastosowanie w sprawie przepisów prawa materialnego. Dodatkowo wskazuje, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Oznacza to, że zgodne z prawem przetwarzanie danych osobowych ma miejsce wówczas, gdy zezwala na to przepis prawa. Podstawa prawna zawarta może być w regulacji szczególnej bądź ogólnej, jaką jest RODO.

Ogólne przesłanki przetwarzania danych osobowych uregulowane są w art. 6 ust. 1 RODO. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:

a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;

d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Szczególne podstawy prawne przetwarzania danych osobowych osób korzystających z usług banków uregulowaną są w przepisach ustawy Prawo bankowe. Zgodnie z art. 105a ust. 1 u.P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz.U. z 2024 r., poz. 1497; dalej: "u.k.k."), a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 u.P.b. przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 u.P.b. bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności.

Zgodnie z art. 105 ust. 4 ww. ustawy banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013.

Przepis ten stanowi podstawę kompetencyjną do założenia instytucji do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiącej tajemnicę bankową. Nie wynika jednak z niego pełna, szczególna podstawa prawna przetwarzania danych osobowych, gdyż zakres upoważnienia do przetwarzania danych osobowych określony został dość ogólnie przez wskazanie, że chodzi o dane objęte tajemnicą bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa we wskazanym akcie normatywnym.

Dopiero z dalszych regulacji wynika szczegółowy zakres danych osobowych, które mogą być legalnie przetwarzane przez banki oraz inne podmiotu rynku okołobankowego, w tym instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., jaką jest B. S.A. Zakres danych, które mogą być przetwarzane, zasady i czas przetwarzania wynikają z omówionych powyżej przepisów art. 105a u.P.b. A zatem odnoszą się do danych dotyczących osób, które nawiązały umowną więź prawną z bankiem.

W świetle ww. przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b. uprawnione było przetwarzanie wyłącznie przez bank danych osobowych G. K. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Należy podkreślić, że w związku z zapytaniami kredytowymi nie doszło do zawarcia umowy kredytowej, a powyższa okoliczność nie była kwestionowana w toku postępowania. Nie było więc podstaw prawnych do przekazania przez I. danych do B. S.A. i przetwarzania ich przez ten podmiot. Nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Nadto klient banku wniósł o zaprzestanie przetwarzania jego danych w związku z zapytaniami kredytowymi, w rezultacie których nie udzielono mu kredytu. Wobec tego należy zgodzić się ze stanowiskiem Sądu pierwszej instancji, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych G. K. przez I., które to przetwarzanie miało na celu - co wymaga raz jeszcze podkreślenia - ocenę zdolności kredytowej i analizę ryzyka kredytowego - przed zawarciem umowy. Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych przez B. S.A., to należało uznać, tak jak prawidłowo przyjął PUODO, że ustał cel przetwarzania danych osobowych pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Konkludując, szczególne przesłanki legalizujące przetwarzanie danych osobowych zawarte w art. 105a ust. 1 u.P.b. dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, jak miało to miejsce w sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym. Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. w celach innych niż ocena zdolności kredytowej i analiza ryzyka kredytowego.

Naczelny Sąd Administracyjny uznał także, iż podstawą przetwarzania danych osobowych klienta banku, z którym nie nawiązano stosunku zobowiązaniowego, nie mógł być przepis art. 6 ust. 1 lit. f RODO. Autor skargi kasacyjnej posługuje się pojęciem "przetwarzania danych w okresie archiwizacji". Punktem spornym wynikającym z zarzutów 2-6 jest interpretacja tego przepisu, a w szczególności wyrażenia "prawnie uzasadnionych interesów". Skład Naczelnego Sądu Administracyjnego nie podzielił rozszerzającej wykładni tego wyrażenia językowego dokonanej przez autora skargi kasacyjnej. Prawnie uzasadniony interes to interes wynikający wprost z przepisu prawa. Jest to zatem interes obiektywnie istniejący i mający swoje umocowanie w skonkretyzowanym przepisie obowiązującego prawa (tak J. Zimmermann, Prawo administracyjne, Warszawa 2018, s. 367; A. Duda, Interes prawny w polskim prawie administracyjnym, Warszawa 2008, passim). Przyjęcie rozumienia, zgodnie z którym prawnie uzasadniony interes to każdy interes, który jest zgodny z prawem (gdyż w tym kierunku zmierza odwoływanie się do przepisów kodeksu cywilnego), prowadziłoby w konsekwencji do legalizacji przetwarzania danych osobowych we wszystkich sytuacjach, które są objęte regulacją ustawową i dotyczących interesów, które są z nią zgodne. W swej istocie doszłoby w ten sposób do drastycznego ograniczenia prawa do prywatności w zakres danych osobowych z naruszeniem wymogów wynikających z przepisu art. 31 ust. 3 Konstytucji RP. Przyjęta w skardze kasacyjnej interpretacja przepisu art. 6 ust. 1 lit f RODO jest sprzeczna z Konstytucją i prowadzi do pogwałcenia konstytucyjnych wymogów ograniczania praw lub wolności konstytucyjnych.

Przypomnieć należy, że prawo do ochrony danych osobowych jest prawem gwarantowanym zarówno w krajowym, jak i unijnym porządku prawnym. Na płaszczyźnie krajowej regulacji prawo do ochrony danych osobowych znajduje oparcie w przepisie art. 51 Konstytucji RP. Przepis ten określa podstawowe uprawnienia składające się na prawo do ochrony danych osobowych, w kwestiach szczegółowych odsyłając do regulacji ustawowej.

W piśmiennictwie przedmiotu przyjmuje się, że prawo do ochrony danych osobowych stanowi refleks ogólnej zasady autonomii informacyjnej człowieka i swego rodzaju emanację ogólnego prawa do prywatności, gwarantowanego w art. 47 Konstytucji RP, ze względu na to, że dane osobowe są częścią życia prywatnego bądź posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję do decydowania o swoim życiu osobistym (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2015, s. 260–261).

Wywodząca się z prawa niemieckiego koncepcja autonomii informacyjnej jednostki jest przyjmowana również na gruncie prawa polskiego, co dostrzec można zarówno w poglądach doktrynalnych, jak też w judykaturze. W wyroku z 19 lutego 2002 r. (U 3/01, OTK-A 2002/1, poz. 3) Trybunał Konstytucyjny stwierdził, że tzw. autonomia informacyjna jednostki (gwarantowana w art. 51 Konstytucji RP), oznaczająca prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami znajdującymi się w posiadaniu innych podmiotów, są elementami składowymi prawa do ochrony prawnej życia prywatnego, gwarantowanego w art. 47 Konstytucji RP (na temat autonomii informacyjnej w orzecznictwie TK szerzej por. P. Litwiński, Zasada autonomii informacyjnej w orzecznictwie Trybunału Konstytucyjnego a stosowanie przepisów o ochronie danych osobowych [w:] Ochrona danych osobowych w Polsce z perspektywy dziesięciolecia, red. P. Fajgielski, Lublin 2008, s. 169–184). Zakres autonomii informacyjnej jednostki stale zmniejsza się, co jest spowodowane przesuwaniem ciężaru ochrony jednostki i jej prywatności w kierunku instytucjonalnych, publicznoprawnych instytucji i środków (M. Safjan, Prawo do prywatności i ochrona danych osobowych w społeczeństwie informatycznym, PiP 2002/6, s. 5). Nie znaczy to jednak, że zmniejszanie tej autonomii następować może bez podstawy prawnej, o czym poniżej.

W porządku prawnym UE prawo do ochrony danych osobowych jest jednym z praw podstawowych, które zostało zagwarantowane w art. 8 ust. 1 Karty praw podstawowych UE oraz art. 16 ust. 1 TFUE, o czym przypomina motyw 1 preambuły. W myśl wskazanych powyżej przepisów każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Zgodnie z art. 8 ust. 2 Karty praw podstawowych UE dane osobowe powinny być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą; każdy ma prawo dostępu do zebranych danych, które go dotyczą, i prawo do dokonania ich sprostowania, natomiast ust. 3 wskazanego tu artykułu stanowi, iż przestrzeganie tych zasad podlega kontroli niezależnego organu.

Przepis art. 16 ust. 2 TFUE uprawnia Parlament Europejski i Radę UE do tego, aby stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, określiły zasady dotyczące ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii oraz przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasady dotyczące swobodnego przepływu takich danych. W odniesieniu do unijnych instytucji i organów zasady zostały określone w rozporządzeniu Parlamentu Europejskiego i Rady 2018/1725 z 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz. Urz. UE L 295, s. 39 i n.), natomiast zasady ochrony danych przez państwa członkowskie regulowane są przepisami RODO.

Zmniejszanie się autonomii jednostki jest znakiem naszych czasów, jednak polski ustawodawca konstytucyjny wymaga, aby następowało to w sposób określony w art. 31 ust. 3 Konstytucji RP.

Podkreślić należy, że dane osobowe są elementem konstytucyjnego prawa do prywatności. Zatem przepis art. 6 ust. 1 RODO należy postrzegać w kategoriach regulacji prawnej wprowadzającej ograniczenia w zakresie prawa do prywatności, co pociąga za sobą dwie konsekwencje. Pierwszą odnoszoną do stanowienia prawa, drugą do stosowania prawa. Gdy idzie o stanowienie prawa, ramy dalszego ograniczania prawa przez ustawodawcę zwykłego, poza przypadkami wskazanymi w przepisach art. 6 ust. 1 RODO, nakłada przepis art. 31 ust. 3 Konstytucji RP. Dopuszcza on możliwość ograniczania praw uregulowanych w Konstytucji, pod warunkiem, że ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw ustanawiane są w ustawach i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób. Poza wymogami formalnymi i materialnym ograniczenia te nie mogą naruszać istoty wolności i praw.

Z punktu widzenia procesów stosowania prawa przepis art. 6 ust. 1 RODO, jako wprowadzający ograniczenia w zakresie konstytucyjnego prawa do prywatności, należy interpretować wyłącznie w ramach tzw. wykładni literalnej, tj. wykładni ścisłej, takiej, której rezultat pokrywa się z wynikiem wykładni językowej (vide szerzej na ten temat TK w orzeczeniu z 28.06.2000 r., K 25/99, OTK 2000, nr 5, poz. 141). Wymóg zastosowania technik tej wykładni wynika z charakteru przepisów art. 6 ust. 1 RODO, które mają charakter ograniczający prawa lub wolności jednostki. Stanowisko co do obowiązku interpretowania wedle reguł wykładni literalnej przepisów tego rodzaju jest ugruntowane w orzecznictwie TK (vide: wyrok TK z 25 lutego 1999 r., K 23/98, OTK 1999, nr 2, poz. 25), orzecznictwie SN (np. postanowienie SN z 14 stycznia 2009 r., IV CSK 344/08), a przede wszystkim orzecznictwie NSA, który prezentuje je konsekwentnie od początku swojej działalności (np. wyrok NSA z 15 czerwca 2000 r., I SA/Gd 606/98; wyrok NSA z 1 czerwca 2004 r., GSK 30/04 – publik. CBOSA), jak również w doktrynie (jako przykład wskazać można: L. Morawski, Zasady wykładni prawa, Toruń 2014, s. 191 i nast.). Lektura skargi kasacyjnej, w tym w pierwszym rzędzie zarzutów 2-6 wskazuje zaś na przyjęcie odmiennych założeń, co nie mogło zyskać akceptacji Sądu drugiej instancji.

Analiza treści skargi kasacyjnej, a w szczególności zarzutu 1 i 7 naruszenia prawa materialnego wymaga wprowadzenia pewnego istotnego rozróżnienia związanego z materialnym zakresem stosowania przepisów RODO. Z przepisu art. 2 ust. 1 RODO wynika, że obowiązek stosowania rozporządzenia wiąże się nie tylko z przetwarzaniem danych, ale także z zaistnieniem jednej z dwóch przesłanek wskazanych w komentowanym przepisie:

1) przetwarzanie danych osobowych odbywa się w sposób całkowicie lub częściowo zautomatyzowany albo

2) przetwarzanie odbywa się w sposób inny niż zautomatyzowany, a dane osobowe stanowią lub mają stanowić część zbioru danych.

Zatem przetwarzanie danych, które odbywa się w sposób niezautomatyzowany (ręcznie), a przetwarzane dane nie stanowią (lub nie mają stanowić) zbioru, nie jest objęte zakresem przedmiotowym, a więc rozporządzenie nie znajduje zastosowania. Dotyczyć to będzie pojedynczych informacji, które nie są gromadzone w celu utworzenia zbioru bądź włączenia do istniejącego już zbioru. Oznacza to, że należy wyodrębnić dwa przypadki. Po pierwsze, digitalizacji akt danej sprawy związanej z danym zapytaniem kredytowym. W takiej sytuacji, tj. w przypadku całkowitej lub częściowej automatyzacji procesu załatwienia sprawy, np. przez składanie wniosku elektronicznie i użycie do jego rozpoznania komputera oraz odpowiednich aplikacji analitycznych, przetwarzanie danych osobowych odbywa się całkowicie lub częściowo w sposób zautomatyzowany, a zatem całość procesu oraz zautomatyzowane całkowicie lub częściowo zbiory danych osobowych podlegają przepisom RODO. Po drugie, prowadzenia papierowej dokumentacji obrazującej załatwienie sprawy zapytania kredytowego i jednoczesnego prowadzenia zbioru danych dotyczących np. rejestracji spraw i sposobu ich załatwienia. Z punktu widzenia przepisów RODO odmienny jest więc status prawny papierowych materiałów źródłowych związanych z danym zapytaniem kredytowym, które nie podlegają przepisom RODO, oraz zbioru danych osobowych, w którym dochodzi do przetwarzania danych osobowych związanych z zapytaniami kredytowymi. Zbiory te bez względu na to czy są zautomatyzowane czy są prowadzone w innych sposób podlegają w pełnym zakresie przepisom RODO. Wykładnia art. 2 ust. 1 RODO nakazuje zatem rozróżnienie materiałów źródłowych sprawy (które mogą być wyodrębniane w akta danej sprawy) zawierających dane osobowe, które są przetwarzane ręcznie oraz zbiory danych, do których są wprowadzane dane osobowe z posiadanych materiałów źródłowych. Przepisy RODO regulujące przetwarzanie danych osobowych nie odnoszą się zatem do danych osobowych przetwarzanych w sposób odręczny (a zatem niezautomatyzowany w jakimkolwiek stopniu) w materiałach źródłowych. Uwagi te są istotne z punktu widzenia treści zarzutu 1 naruszenia prawa materialnego, jak i zarzutów naruszenia prawa procesowego, w których autor skargi kasacyjnej posługując się innymi nazwami operuje tymi dwiema kategoriami pojęciowymi.

Dodatkowo w odniesieniu do zarzutu 1 naruszenia prawa materialnego wskazać należy, iż z treści art. 49 ust. 1 i 2 ustawy AML wynika, iż chodzi o osobę, z którą doszło do nawiązania stosunku zobowiązaniowego lub z którą dokonywana jest transakcja okazjonalna. Czynność ta jest zdefiniowana legalnie w art. 2 ust. 2 pkt 22 ustawy AML. Z wykładni tych przepisów w powiązaniu z art. 2 ust. 2 pkt 15 cyt. ustawy wywieść należy, iż transakcje te są dokonywane również w ramach stosunków zobowiązaniowych. Z tych przyczyn zarzuty 1-7 są nieuzasadnione.

Zarzut 8. ma charakter wynikowy w tym sensie, iż jego ewentualna zasadność zachodziłaby gdyby zarzuty 1-7 okazały się uzasadnione, co w niniejszej sprawie nie ma miejsca.

Zarzuty naruszenia prawa procesowego są nieuzasadnione.

Konstrukcja zarzutów procesowych z punktów 1-3 zbudowana została na naruszeniu przepisu art. 133 § 1 p.p.s.a.

Zgodnie z art. 133 § 1 p.p.s.a. "sąd wydaje wyrok po zamknięciu rozprawy na podstawie akt sprawy, chyba że organ nie wykonał obowiązku, o którym mowa w art. 54 § 2. Wyrok może być wydany na posiedzeniu niejawnym w postępowaniu uproszczonym albo jeżeli ustawa tak stanowi". Orzekanie "na podstawie akt sprawy" oznacza, że sąd przy ocenie legalności decyzji bierze pod uwagę okoliczności, które z akt tych wynikają i które legły u podstaw zaskarżonego aktu. Podstawą orzekania przez sąd administracyjny jest zatem materiał dowodowy zgromadzony przez organ administracji publicznej w toku postępowania. Skoro wyrok wydawany jest na podstawie akt sprawy, to tym samym badając legalność zaskarżonej decyzji sąd ocenia jej zgodność z prawem materialnym i procesowym w aspekcie całości zgromadzonego w postępowaniu administracyjnym materiału dowodowego (por. wyrok NSA z 9 lipca 2008 r., II OSK 795/07). Podstawą orzekania sądu jest zatem materiał zgromadzony przez organy w toku całego postępowania przed tymi organami oraz przed sądem (uwzględniając treść art. 106 § 3 p.p.s.a.). Wskazany wyżej przepis mógłby zostać naruszony, gdyby sąd wyszedł poza ten materiał i dopuścił na przykład w postępowaniu sądowym dowód z przesłuchania świadków. Obowiązek wydania wyroku na podstawie akt sprawy oznacza bowiem jedynie zakaz wyjścia poza materiał znajdujący się w aktach sprawy (por. wyrok NSA z 7 marca 2013 r., II GSK 2374/11).

Należy odróżnić poddanie sądowej kontroli działalności administracji publicznej na podstawie innego materiału niż akta sprawy od wydania wyroku na podstawie akt sprawy z przyjęciem np. odmiennej oceny materiału dowodowego zawartego w tych aktach (por. wyrok NSA z 5 kwietnia 2012 r., I OSK 1749/11). Nie jest naruszeniem art. 133 § 1 p.p.s.a. zaakceptowanie przez sąd jako zgodnej z przepisami postępowania oceny materiału dowodowego oraz przyjęcia za prawidłowe ustaleń będących konsekwencją tej oceny nawet, gdyby nie uwzględniało ono całości materiału dowodowego (por. wyrok NSA z 13 maja 2008 r., II FSK 419/0). W ramach zarzutu art. 133 § 1 p.p.s.a. nie można też skutecznie kwestionować dokonanej przez sąd oceny zaskarżonej decyzji – również z punktu widzenia poprawności uzasadnienia faktycznego i prawnego decyzji - oraz innych dokumentów, o ile dokumenty te znajdują się w materiale zgromadzonym w aktach sprawy. Przepis art. 133 § 1 p.p.s.a. nie może służyć kwestionowaniu oceny materiału dowodowego, jak i ustaleń i oceny ustalonego w sprawie stanu faktycznego dokonanych przez sąd pierwszej instancji, z którą nie zgadza się organ administracji publicznej (por. wyroki NSA z: 9 listopada 2011 r., I OSK 1350/11; 17 listopada 2011 r., II OSK 1609/10). Z przepisu tego wynika więc nakaz wyprowadzania oceny prawnej na gruncie faktów i dowodów znajdujących odzwierciedlenie w aktach sprawy (por. wyroki NSA z: 26 maja 2010 r., I FSK 497/09; 19 października 2010 r., II OSK 1645/09; 5 czerwca 2012 r., II OSK 763/12). Do naruszenia art. 133 § 1 p.p.s.a. dojść mogłoby zatem wtedy, gdyby sąd wyrokując nie podjął rozstrzygnięcia na podstawie akt sprawy postępowania administracyjnego, co w niniejszej sprawie nie miało miejsca.

Treść zarzutów 1-3 naruszenia prawa procesowego wskazuje, że autor skargi naruszenia przepisu art. 133 § 1 p.p.s.a. w powiązaniu z innymi przepisami dopatruje się zaś w nierozpoznaniu wskazanych szczegółowo zarzutów podniesionych w skardze. Przepis art. 133 § 1 p.p.s.a. ze względu na swą zawartość normatywną nie służy jak wynika z powyższych rozważań tym celom. Nierozpoznanie zarzutów wiązać się może w określonych sytuacjach z naruszeniem innych przepisów, np. przepisów wskazanych w zarzutach skargi. Oznacza to, że nierozpoznanie zarzutów winny być kwestionowane w drodze naruszenia innych przepisów. Czyni to te zarzuty nieuzasadnione. Jako nieuzasadnione uznać należy również zarzuty naruszenia przepisu art. 151 p.p.s.a., który zastosowany został prawidłowo, gdyż przeprowadzona ocena legalności decyzji ocenionej jako legalna prowadzić musiała do oddalenia wniesionej skargi. Jako nieuzasadnione uznać należy także zarzuty naruszenia przepisów art. 107 § 1 pkt 5 k.p.a. i art. 8 ust. 2 Konstytucji. Treść skargi kasacyjnej nie pozwala na ustalenie w jaki sposób i jakim działaniem sądu miało dojść do ich naruszenia. Nie określono także na czym miałby polegać istotny wpływ naruszenia na treść zaskarżonego wyroku. Czyni to zarzuty ich naruszenie pozbawione podstaw.

Zarzut 4 naruszenia prawa procesowego jest nieuzasadniony. Konstrukcja tego zarzutu nie odpowiada wymogom prawa wynikającym z art. 174 p.p.s.a. Nie został w nim wskazany przepis, który miał zostać naruszony, sposób jego naruszenia, działanie naruszające oraz nie określono na czym miałby polegać istotny wpływ naruszenia na treść zaskarżonego wyroku. W takiej postaci zarzut, jako nie odpowiadającym warunkom formalnoprawnym, nie nadaje się do merytorycznego rozpoznania i jest a limine nieskutecznie podniesiony.

Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o oddaleniu skargi kasacyjnej. O kosztach postępowania orzeczono na podstawie art. 204 pkt 1 p.p.s.a.