Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska (spr.) Sędziowie: Sędzia NSA Jan Paweł Tarno Sędzia del. WSA Dariusz Chaciński Protokolant starszy asystent sędziego Paweł Konicki po rozpoznaniu w dniu 27 sierpnia 2019 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 lipca 2017 r. sygn. akt II SA/Wa 2221/16 w sprawie ze skargi [...] S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną, 2. zasądza od [...] S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 720 (siedemset dwadzieścia) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Zaskarżonym wyrokiem z 12 lipca 2017 r. Wojewódzki Sąd Administracyjny w Warszawie (sygn. akt II SA/Wa 2221/16) oddalił skargę [...] S.A. z siedzibą w W. (zwanego dalej Bankiem lub skarżącym) na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] października 2016 r., utrzymującą w mocy decyzję własną z [...] lutego 2016 r. w przedmiocie przetwarzania danych osobowych.

W uzasadnieniu powyższego wyroku Sąd pierwszej instancji wskazał, że 23 stycznia 2014 r. M. S. za pośrednictwem strony internetowej złożył wniosek kredytowy. W dniach 2 października 2013 r. i 14 maja 2014 r. Bank dokonał weryfikacji wiarygodności zdolności kredytowej w [...] S.A. z siedzibą w W. (zwanym dalej [...]) na podstawie złożonych przez wnioskodawcę pisemnych upoważnień – "Zgoda na weryfikację (w [...] i innych bazach)", udostępniając jednocześnie dane osobowe wnioskodawcy do [...]. Z wyjaśnień przedłożonych przez Bank wynika, że 19 maja 2014 r. – osobiście w oddziale Banku oraz 11 lipca 2014 r. – telefonicznie za pośrednictwem infolinii M. S. złożył wniosek o usunięcie zapytań kredytowych dokonanych przez Bank w [...]. W odpowiedzi Bank uznał, że nie ma podstaw prawnych do usunięcia wskazanych zapytań. Z kolei [...] w złożonych wyjaśnieniach wskazał, iż przetwarza dane przekazane przez Bank w związku ze złożonymi zapytaniami kredytowymi (trzy: 2 października 2013 r., 23 stycznia 2014 r. i 14 maja 2014 r. ) i zarządzaniem klientem (dwa: 7 stycznia 2014 r. i 20 lutego 2014 r.). Informacja o liczbie i częstotliwości składanych wniosków przez klienta jest z kolei istotną informacją w procesie oceny zdolności i analizy ryzyka kredytowego dokonywanej przed udzieleniem kredytu danej osobie.

M. S. wniósł skargę do Generalnego Inspektora Danych Osobowych na odmowę usunięcia jego danych osobowych przetwarzanych przez [...] w zakresie zapytań kredytowych z 2 października 2013 r., 23 stycznia 2014 r., 14 maja 2014 r.

Decyzją z [...] lutego 2016 r. Generalny Dyrektor Ochrony Danych Osobowych na podstawie art. 104 § 1 K.p.a. oraz art. 12 ust. 2, art. 18 ust. 1 pkt 6, art. 22, art. 23 ust. 1 pkt 2 i art. 26 ust. 1 pkt 4 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2015 r., poz. 2135 ze zm.) nakazał [...] S.A. w W. usunięcie danych osobowych M. S. w zakresie zapytań kredytowych z 2 października 2013 r., 23 stycznia 2014 r., 14 maja 2014 r., przetwarzanych przez [...] S.A. w W.

Wniosek o ponowne rozpatrzenie sprawy złożył Bank.

Decyzją z [...] października 2016 r. Generalny Inspektor Ochrony Danych Osobowych na podstawie art. 138 § 1 pkt 1 K.p.a. oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 6, art. 22 oraz art. 23 ust. 1 pkt 2, art. 26 ust. 1 pkt 4 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych utrzymał w mocy zaskarżoną decyzję. Jak wskazał organ, przekazanie danych osobowych przez Bank do [...] nastąpiło w związku z art. 105 ust. 4 Prawa bankowego i dla legalności tego udostępnienia zgoda M. S. nie była wymagana. Art. 105 ust. 4 Prawa bankowego, na którą powołuje się [...], jedynie ogólnie reguluje prawo banków do oceny zdolności kredytowej i oceny ryzyka kredytowego. Nie stanowi natomiast o dopuszczalności przetwarzania danych osobowych dotyczących zapytań kredytowych. Nie wynika z niego umocowanie dla [...] do przetwarzania danych osobowych pozyskanych uprzednio w ramach zapytań kredytowych, po dokonaniu weryfikacji zdolności kredytowej osoby ubiegającej się o kredyt. Uznanie bowiem takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. Ponadto z wyjaśnień Banku wynika, że cele, do których dane te są wykorzystywane przez [...] – analizy statystyczne wykorzystywane przy sporządzaniu raportów, służą przygotowaniu i realizacji oferty proponowanej przez [...]. Związane są więc z celem głównym gromadzenia danych przez [...] nie zaś Bank i są związane z jego działalnością podstawową, dla której dane te są pozyskiwane, a ponadto wpływają na sytuację wnioskodawcy (jego zdolność kredytową). Nie są to więc cele jedynie statystyczne, o których mowa w art. 26 ust. 2 pkt 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. Zdaniem organu, przetwarzanie danych osobowych związanych z zapytaniami, które nie zakończyły się przyznaniem kredytu, dla celów realizacji działań banków, w tym oceny zdolności kredytowej oraz użyteczności tych danych w modelach scoringowych nie może mieć miejsca w oparciu o art. 23 ust. 1 pkt 5 ustawy. Takie działanie prowadziłoby bowiem do rozszerzającej wykładni art. 23 ust. 1 pkt 5 kontrastującej z dyspozycją art. 26 ust. 1 pkt 4 ustawy. Cel, jakim jest weryfikacja danych wnioskodawcy w [...] w kontekście jego zdolności kredytowej, został osiągnięty niezależnie od faktu, czy proces taki zakończył się zawarciem umowy o udzielenie kredytu. Zebrane dane powinny natomiast zostać usunięte, zanonimizowane lub też przekazane podmiotowi uprawnionemu ustawowo do ich przejęcia od administratora. Gromadzenie zaś takich danych w wieloletniej perspektywie "na przyszłość" nie znajduje oparcia w przepisach ustawy.

Skargę na powyższą decyzję złożył Bank, zarzucając jej naruszenie art. 8 i art. 77 § 1 K.p.a. oraz art. 50, art. 70 i art. 105 ust. 4 Prawa bankowego, a także art. 23 ust. 1 pkt 2 i 5 i art. 26 ust. 1 pkt 4 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. Jak podkreślono w skardze, bez danych na temat złożonych przez klienta wniosków kredytowych w innych bankach, bank udzielający kredytu nie będzie mógł w pełni ocenić wiarygodności kredytowej klienta i tym samym zrealizować obowiązku wynikającego z art. 70 ust. 1 Prawa bankowego. Organ nie odniósł się zaś do kwestii konieczności przetwarzania informacji o zapytaniach kredytowych oraz wpływu tych informacji na potrzeby tworzenia modeli scoringowych.

Uczestnik postępowania [...] w piśmie z 20 czerwca 2017 r. poparł skargę Banku, dodatkowo wskazując, że podczas kontroli w dniach 18 – 22 sierpnia 2014 r. przeprowadzonej w [...] organ nie miał wątpliwości co do zasadności przechowywania danych o zapytaniach.

W odpowiedzi na skargę Generalny Dyrektor Ochrony Danych Osobowych wniósł o jej oddalenie.

Rozpoznając powyższą skargę, Wojewódzki Sąd Administracyjny w Warszawie przywołał na wstępie na art. 7 pkt 2 i art. 23 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych oraz art. 105 ust. 4 i art. 105a ustawy z 29 sierpnia 1997 r. Prawo bankowe (tekst jedn. Dz. U. z 2015 r., poz. 128 ze zm. – zwanej dalej Prawem bankowym). W świetle tych przepisów za zasadne uznał Sąd pierwszej instancji stanowisko organu, że w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest przesłanek ustawowych legalizujących dalsze przetwarzanie przez bank danych osobowych niedoszłego klienta. Jak podkreślił Sąd, w następstwie złożenia wniosków Bank oraz [...] byli uprawnieni w świetle art. 105a ust. 1 Prawa bankowego do przetwarzania danych osobowych wnioskodawcy w celu oceny jego zdolności kredytowej. W sytuacji jednak, gdy w wyniku podjętych czynności sprawdzających nie doszło do zawarcia umowy kredytowej, odpadła przesłanka legalizująca dalsze przetwarzanie przez Bank i [...] danych osobowych wnioskodawcy. Pomiędzy wnioskodawcą a Bankiem nie zawiązał się bowiem żaden stosunek zobowiązaniowy, który w świetle art. 105a ust. 1 – 6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jego danych osobowych przez Bank. Nie znajduje ono zatem obecnie podstawy w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank, a w szczególności podjęcia obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi. Przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas", z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych. Gdyby uznać za zasadną argumentację Banku to mogłoby to prowadzić do błędnych wniosków, że banki są uprawnione dłużej przetwarzać dane osób, z którymi nie łączył je nigdy żaden stosunek prawny, niż dane osób z którymi doszło do zawarcia umowy kredytowej, a w stosunku do których mają zastosowanie ograniczenia wynikające z art. 105a Prawa bankowego. Zdaniem Sądu, odwoływanie się w tym wypadku do celów dowodowych na potrzeby ewentualnych postępowań cywilnych, karnych, czy administracyjnych na tle nieistniejącego między stronami stosunku zobowiązaniowego nie znajduje żadnego logicznego ani prawnego uzasadnienia. Również odwoływanie się do konieczności przetwarzania danych osobowych wnioskodawcy w zakresie pytań kredytowych po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych jest nieuprawnione. Jak wyjaśnił Sąd, scoring kredytowy to metoda oceny wiarygodności podmiotu – zwykle osoby fizycznej lub przedsiębiorstwa – ubiegającego się o kredyt bankowy. Polega na określeniu wiarygodności kredytowej klienta na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyty i je spłacają. W niniejszej sprawie wnioskodawca po złożeniu zapytań kredytowych nie zawarł umowy kredytowej z Bankiem, a tym samym nie spłacał zaciągniętego kredytu, zatem jego dane zawarte w zapytaniu kredytowym (określające profil klienta) są nieprzydatne do tworzenia modeli scoringowych.

Oceny legalności zaskarżonej decyzji nie może zmienić złożony do akt protokół z kontroli przeprowadzonej przez organ w dniach 18 – 22 sierpnia 2014 r. w Banku i [...] obejmujący zgodność przetwarzania danych osobowych z przepisami ustawy o ochronie danych osobowych i wydanych na jej podstawie aktów wykonawczych. Nawet jeżeli kontrola ta poświęcona była w części danym pochodzącym z zapytań kredytowych, to nie oznacza to, że organ a tym bardziej Sąd jest nią związany. Kontrola ta służyła innym celom, natomiast Sąd ocenia konkretną, indywidualną sprawę w zakresie legalności stosowania przepisów.

Ponadto, skoro brak było podstawy prawnej przetwarzania danych wnioskodawcy, to organ nie był zobligowany do prowadzenia postępowania dowodowego co do czasu ich przetwarzania na podstawie art. 104 Prawa bankowego. Nie został także naruszony art. 77 § 1 i art. 8 K.p.a. oraz art. 26 ust. 1 pkt 4 ustawy, bowiem cel przetwarzania został osiągnięty z chwilą odstąpienia przez strony od zawarcia umowy kredytowej.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu administracyjnym (tekst jedn. Dz. U. z 2016 r., poz. 718 ze zm. – zwanej dalej P.p.s.a.) oddalił skargę.

Skargę kasacyjną od powyższego wyroku złożyło [...] S.A. w W., zaskarżając go w całości i zarzucając mu:

- naruszenie prawa materialnego, tj.:

1. art. 23 ust. 1 pkt 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 105 ust. 4 pkt 1 oraz art. 70 ust. 1 Prawa bankowego poprzez jego niezastosowanie w sytuacji, gdy przetwarzanie danych w celu oceny zdolności kredytowej stanowi obowiązek banku wynikający z przepisów prawa, zatem przetwarzanie danych w celu oceny zdolności kredytowej nie może być uzależnione od zawarcia bądź nie zawarcia umowy z podmiotem danych;

2. art. 23 ust. 1 pkt 2 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 105a ust. 1 Prawa bankowego poprzez jego błędne zastosowanie polegające na uznaniu, że w przypadku niezawarcia umowy o kredyt przepis ten nie stanowi podstawy do przetwarzania danych o złożonych wnioskach kredytowych, podczas gdy właściwa interpretacja powinna prowadzić do wniosku, iż przepis ten stanowi podstawę prawną do przetwarzania danych o złożonych wnioskach kredytowych niezależnie od istnienia stosunku umownego między potencjalnym kredytobiorcą a bankiem, gdyż przetwarzanie takich danych jest niezbędne do prawidłowej oceny zdolności kredytowej i ryzyka kredytowego.

- naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.:

3. art. 151 i art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 107 § 3 K.p.a. polegające na utrzymaniu zaskarżonej decyzji GIODO w mocy, w sytuacji gdy organ zaniechał dokładnego i pełnego wyjaśnienia stanu faktycznego oraz nie zebrał ani nie rozpatrzył w wyczerpujący sposób materiału dowodowego, w szczególności nie zbadał znaczenia i wpływu informacji dotyczących ubiegania się przez klientów o kredyt (zapytania kredytowe) na funkcjonujące w Banku i w [...] modele scoringowe oraz zaniechał przeprowadzania postępowania dowodowego w celu ustalenia, czy zakres danych przetwarzanych przez Bank i [...] w związku z modelami scoringowymi wykorzystywanymi do oceny zdolności kredytowej spełnia przesłankę adekwatności, co w konsekwencji mogło mieć istotny wpływ na wynik sprawy i doprowadzić do utrzymania w mocy decyzji wydanej z naruszeniem ww. przepisów K.p.a.,

4. art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 8 K.p.a. poprzez nieuznanie przez Sąd, iż pozytywny wynik kontroli dokonanej w [...] przez ten sam organ (GIODO) w zakresie m. in. legalności zapytań kredytowych powinien być wzięty pod uwagę w niniejszej, indywidualnej sprawie w zakresie przetwarzania tych samych danych.

Wskazując na powyższe, Bank wniósł o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi kasacyjnej poprzez uchylenie decyzji organu z [...] października 2016 r. i poprzedzającej ją decyzji z [...] lutego 2016 r., o zasądzenie na rzecz uczestnika zwrotu kosztów postępowania według norm przepisanych, rozpoznanie sprawy na rozprawie i na podstawie art. 106 § 3 P.p.s.a. o przeprowadzenie dowodu uzupełniającego z ekspertyzy dr M. P. i p. P. G. z Instytutu Badań nad Gospodarką Rynkową pt. "Wpływ liczby zapytań kredytowych na przyszłe ryzyko braku uregulowania zobowiązań przez kredytobiorcę", na okoliczność, że informacje o zapytaniach kredytowych, niezależnie od tego czy zakończyły się udzieleniem przez bank kredytu są niezbędne do oceny zdolności kredytowej i analizy ryzyka kredytowego.

W uzasadnieniu skargi kasacyjnej podkreślono, że treścią obowiązku wynikającego z art. 105 ust. 4 i art. 70 ust. 1 Prawa budowlanego nie jest jedynie weryfikacja zdolności kredytowej, ale weryfikacja przy pomocy dostępnych dla banku środków, w tym w szczególności środków dostarczonych przez [...] w postaci bazy danych. Sąd pierwszej instancji bezzasadnie zatem nie uwzględnił, że ww. przepisy stanowią wyraźną podstawę prawną do korzystania przez Bank i [...] z wszelkich możliwych informacji niezbędnych do zawarcia umowy kredytowej, w tym o bezskutecznych zapytaniach kredytowych. Uwzględniając natomiast sposób redakcji art. 105a ust. 1 – 4 Prawa bankowego, stwierdzić należy, że każda z jednostek redakcyjnych art. 105a stanowi samodzielną podstawę uprawniającą do przetwarzania danych stanowiących tajemnicę bankową. W sytuacji, w której chodzi o dane przetwarzane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego potencjalnego klienta, samodzielną podstawą do przetwarzania danych osobowych stanowi art. 105a ust. 1. Nadto utrzymanie skarżonej decyzji w mocy "stanowiłoby w ocenie [...] naruszenie zasady pogłębiania zaufania obywateli do władzy publicznej, wyrażonej m. in. w art. 8 K.p.a.".

Odpowiedź na skargę kasacyjną wraz z wnioskiem o jej oddalenie wniósł Generalny Inspektor Ochrony Danych Osobowych.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna nie zasługuje na uwzględnienie.

Rozpoznając sprawę w granicach określonych art. 183 § 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2018 r., poz. 1302 ze zm.) i nie dostrzegając przy tym przesłanek nieważności postępowania, o których mowa w § 2 tego artykułu, za niezasadny należało uznać zarzut naruszenia art. 151 i art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 7, art. 77 § 1 i art. 107 § 3 K.p.a. (zarzut 3). Uchybienie ww. przepisom, skarżący kasacyjnie przypisuje przede wszystkim temu, że "(...) organ nie zbadał znaczenia i wpływu informacji dotyczących ubiegania się przez klientów o kredyt (zapytania kredytowe) na funkcjonowanie w Banku i [...] modele scoringowe (...)". Tym samym zdaje się całkowicie pomijać, że przedmiotem oceny organu a po nim sądu administracyjnego była zgodność z prawem przetwarzania danych osobowych w świetle uprawnień przyznanych skarżącemu oraz skarżącemu kasacyjnie przez Prawo bankowe, a nie sposobu funkcjonowania mechanizmów kredytowych i ustalenia, jakie dane są potrzebne Bankowi i [...] dla zapewnienia prawidłowego działania tych mechanizmów. Mówiąc wprost, rzeczą organu jak i kontrolującego go Sądu pierwszej instancji nie było ustalenie, jakie dane Bank i [...] chcieliby gromadzić, ale to czy mają prawo je gromadzić w świetle regulacji ustawowych. Z tego punktu widzenia, żądanie zbadania i wpływu informacji dotyczących ubiegania się o kredyt na funkcjonujące w Banku i [...] modele scoringowe oraz czy spełniają one przesłankę adekwatności nie miały żadnego znaczenia dla sprawy, a zatem nie pozwalały na uwzględnienie analizowanego zarzutu. Z tej też przyczyny żadnego znaczenia dla sprawy nie mogła mieć załączona do skargi kasacyjnej ekspertyza. Oczywiste jest, że skoro banki dysponują bazą danych osób ubiegających się w przeszłości o uzyskanie kredytu to badają też jej przydatność dla własnych celów i wyciągają z tego określone wnioski tym niemniej nie legalizuje to jeszcze dalszego przetwarzania pozyskanych danych.

Nie podlegał uwzględnieniu także zarzut naruszenia art. 145 § 1 pkt 1 lit. c P.p.s.a. w związku z art. 8 K.p.a. Fakt przeprowadzenia przez organ kontroli skarżącego kasacyjnie ([...]), a także wynik tej kontroli nie są w żaden sposób wiążące dla sądu administracyjnego w ocenie legalności decyzji nakazującej usunięcie danych osobowych. Ponadto zawarta w art. 8 K.p.a. zasada pogłębiania zaufania obywateli do organów państwa określa wyraźnie to, co jest zawarte w zasadzie praworządności. Z zasady tej wynika wymóg praworządnego i sprawiedliwego prowadzenia postępowania i rozstrzygnięcia sprawy przez organ administracji publicznej, co jest zasadniczą treścią zasady praworządności (por. wyroki Naczelnego Sądu Administracyjnego z 28 marca 2018 r. sygn. akt I OSK 2283/17 i 28 listopada 2018 r. sygn. akt II OSK 318/18). Nie można zatem mówić o jej naruszeniu tylko z tego powodu, że strona jest niezadowolona z treści decyzji i to w sytuacji, gdy legalność tej decyzji nie została podważona, a zrealizowany został podstawowy cel ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, tj. prawo (każdego) do ochrony dotyczących go danych osobowych (art. 1 ust. 1). Podkreślić również trzeba, że o naruszeniu art. 8 K.p.a. można byłoby mówić w sytuacji wahania poglądów prawnych wyrażanych w decyzjach organu administracji publicznej, kierowanych do tego samego podmiotu oraz na tle takich samych stanów faktycznych i tożsamej podstawy prawnej (wyrok Naczelnego Sądu Administracyjnego z 15 marca 2012 r. sygn. akt II OSK 2539/10). Taka sytuacja nie miała natomiast miejsca w okolicznościach niniejszej sprawy.

Przechodząc do oceny zarzutów naruszenia prawa materialnego, zauważyć trzeba, że zgodnie z art. 23 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych przetwarzanie danych może być uznane za zgodne z prawem jedynie wówczas, gdy administrator danych wykaże się spełnieniem co najmniej jednej z przesłanek przetwarzania danych osobowych, enumeratywnie wymienionych w tym przepisie. Przesłanki te mają charakter generalny i odnoszą się do wszelkich form przetwarzania danych, a każda z nich ma charakter autonomiczny. Może się także zdarzyć, że określone przetwarzanie danych będzie realizowane na podstawie więcej niż jednej przesłanki.

Skarżący kasacyjnie jako podstawę prawną przetwarzania danych osobowych wnioskodawcy wskazał w zarzucie 3 – art. 23 ust. 1 pkt 2 ustawy z 29 sierpnia 1997 r., a więc sytuację, gdy: "jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa". Jak podstawę tego obowiązku wskazał natomiast: art. 70 ust. 1 Prawa bankowego ("Bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności"), art. 105 ust. 4 pkt 1 ("Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013") oraz art. 105a ust. 1 Prawa bankowego.

Pierwszy z ww. przepisów nie odnosi się jednak do przetwarzania danych osobowych, bowiem nie pozwala na zrekonstruowanie normy prawnej uprawniającej do ich przetwarzania, drugi zaś nawiązuje jedynie do tajemnicy bankowej regulowanej samodzielnie w innym miejscu ustawy. Z kolei odwołanie w przepisie do rozporządzenia nr 575/2013, bez konkretyzacji przepisu tego rozporządzenia w skardze kasacyjnej, nie pozwala na ocenę w niniejszym postępowaniu. Z tego też względu trzeci zarzut skargi kasacyjnej nie podlegał uwzględnieniu.

Odnośnie natomiast trzeciej podstawy prawnej przetwarzania danych osobowych wynikającej z przepisów odrębnych, skarżący wymienił w zarzucie 4 przepis art. 105a ust. 1 Prawa bankowego. Zgodnie z tym przepisem: "Przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego". I choć rację ma strona skarżąca kasacyjnie, że przepis ten na tle innych regulacji art. 105a Prawa bankowego ma charakter autonomiczny, to jednak jego literalne brzmienie nie daje podstaw do dalszego przetwarzania danych osobowych po zakończeniu oceny zdolności kredytowej i analizie ryzyka kredytowego. Autonomiczność tego przepisu nie stoi zresztą na przeszkodzie wykładni ww. przepisu w świetle kolejnych przepisów tym bardziej, że część z tych przepisów wprost odwołuje się do ust. 1 art. 105a Prawa bankowego, chociaż jedynie w zakresie podmiotowym. Przepisy te regulują natomiast prawo do przetwarzania danych osobowych w sytuacji wygaśnięcia zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją lub podmiotem tam wymienionym, wprowadzając maksymalny limit czasowy tego przetwarzania. Wykładnia zatem zaprezentowana przez skarżącego kasacyjnie sprowadzałaby się do twierdzenia, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego bank (lub inne podmioty tam wymienione) ma prawo nieograniczonego w czasie przetwarzania danych osobowych, jeżeli nie doszło do zawarcia umowy o kredyt, zaś prawo to doznaje ograniczenia, gdy doszło do zawarcia takiej umowy. Tak zaprezentowanych wyników wykładni art. 105a ust. 1 Prawa bankowego nie sposób zaakceptować, bowiem prowadzą one do skutków, których nie zakładałby racjonalny ustawodawca, a więc do przyznania szerszego uprawnienia do przetwarzania danych osobowych podmiotów, z którymi banku nie łączy żaden stosunek prawny. Zwrócić również trzeba uwagę, że cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałoby w oderwaniu od celu dla którego dane te uzyskano. Jak trafnie przy tym zwrócił uwagę Sąd pierwszej instancji, niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Ta nie została wykazana w niniejszej skardze kasacyjnej, a w związku z tym także i zarzut 4 skargi kasacyjnej nie mógł zostać uwzględniony. Zaakcentować jeszcze raz należy, że wątpliwości organu i sądów obu instancji nie budzi legalność pozyskania przez Bank danych osobowych dla oceny zdolności kredytowej i ryzyka kredytowego konkretnego podmiotu. Znajdowało to bowiem wyraźną podstawę i w treści art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych i art. 105a ust. 1 Prawa bankowego. Wątpliwości budzi jedynie ich dalsze przetwarzanie po dokonaniu oceny zdolności kredytowej i analizie ryzyka kredytowego w sytuacji gdy ocena ta i analiza nie spowodowały zawarcia umowy kredytowej. Zasadniczy problem dotyczy zatem wyłącznie dalszego okresu ich przetwarzania po odmowie udzielenia kredytu. Celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest bowiem zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi wskutek tej czynności banku to nie ma podstaw prawnych do dalszego ich przechowywania. Gdyby podzielić stanowisko skarżącego, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 Prawa bankowego ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu. Artykuł 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych, na który również wskazywał organ i Sąd pierwszej instancji stanowił, że "administrator danych przetwarzający dane powinien dołożyć należytej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przechowywane w postaci umożliwiającej identyfikacje osób, których dotyczą nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania". Skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego to cel ten odpadł z momentem jej dokonania. W przypadku osób z którymi zawarto umowę kredytową istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych z którymi nie zawarto umowy takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy, ani Prawa bankowego Wskazywana przez skarżącego kasacyjnie zmiana przepisu art. 105 ust. 1 Prawa bankowego wprowadzająca punkt 1 a była bez znaczenia z punktu widzenia rozpatrywanej sprawy.

Z tych względów orzeczono o oddaleniu skargi kasacyjnej na podstawie art. 184 P.p.s.a. O kosztach postępowania kasacyjnego rozstrzygnięto stosownie do art. 204 pkt 1 P.p.s.a.