Wyrok Naczelnego Sądu Administracyjnegoz 21 lipca 2026 r., sygn. akt III OSK 2715/23

Uzasadnienie

Wyrokiem z dnia 5 czerwca 2023 r., sygn. akt II SA/Wa 1736/22, Wojewódzki Sąd Administracyjny w Warszawie (dalej "WSA w Warszawie", "Sąd I instancji") oddalił skargi A. S.A. z siedzibą w [...] (dalej "Bank") oraz Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej "Biuro", "BIK") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej "organ", "Prezes UODO") z dnia 25 lipca 2022 r., nr DS.523.817.2022.FT.AP, w przedmiocie przetwarzania danych osobowych.

Powyższy wyrok, od którego została złożona skarga kasacyjna, zapadł w następujących okolicznościach faktycznych i prawnych.

Pismem z dnia 28 stycznia 2022 r. A.A. (dalej "wnioskodawca" lub "uczestnik postępowania"), wniósł do Prezesa UODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej w zakresie wynikającym z zapytań kredytowych z dnia 27 maja 2021 r. oraz z dnia 6 stycznia 2022 r., niezakończonych zawarciem umowy o kredyt. Jednocześnie wniósł o nakazanie usunięcia danych związanych z zapytaniami kredytowymi w bazie Biura.

Prezes UODO, decyzją z dnia 25 lipca 2022 r., na podstawie art. 104 § 1 k.p.a., art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), a także art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej "RODO"), po przeprowadzeniu postępowania administracyjnego wszczętego w sprawie ze skargi wnioskodawcy na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na przetwarzaniu jego danych osobowych w zakresie wynikającym z zapytań kredytowych z dnia 27 maja 2021 r. oraz z dnia 6 stycznia 2022 r., niezakończonych zawarciem umowy o kredyt, bez podstawy prawnej, w tym w Biurze, oraz na odmowie spełnienia żądania wnioskodawcy w zakresie usunięcia przez Bank informacji o tych zapytaniach:

1. 1) nakazał Bankowi usunięcie danych osobowych wnioskodawcy, w zakresie wynikającym z zapytań kredytowych z dnia 27 maja 2021 r. oraz z dnia 6 stycznia 2022 r., niezakończonych zawarciem umowy kredytowej;
2. 2) nakazał Biuru usunięcie danych osobowych wnioskodawcy, w zakresie wynikającym z zapytań kredytowych z dnia 27 maja 2021 r. oraz z dnia 6 stycznia 2022 r., niezakończonych udzieleniem kredytu, przekazanych przez Bank.

W uzasadnieniu powyższej decyzji organ przytoczył poczynione ustalenia, z których wynika, że w dniach 27 maja 2021 r. oraz 6 stycznia 2022 r. wnioskodawca złożył w Banku wniosek o udzielenie kredytu ratalnego na zakup towarów. Po otrzymaniu odmownej decyzji kredytowej, wnioskodawca w dniu 11 stycznia 2022 r. zwrócił się do Banku o usunięcie jego danych osobowych w zakresie zapytań kredytowych w bazie Biura. Bank odmówił usunięcia jego danych osobowych dotyczących zapytań kredytowych z dnia 27 maja 2021 r. oraz z dnia 6 stycznia 2022 r. Wnioskodawca wniósł o nakazanie usunięcia jego danych osobowych związanych z zapytaniami kredytowymi w Biurze.

Bank wyjaśnił, że pozyskał dane osobowe wnioskodawcy w związku ze złożeniem wniosków o zawarcie umowy kredytu ratalnego z dnia 27 maja 2021 r. o numerze [...], który nie zakończył się zawarciem umowy, oraz w związku ze złożeniem wniosku o zawarcie umowy kredytu ratalnego z dnia 6 stycznia 2022 r. o numerze [...], który nie zakończył się zawarciem umowy. Wskazał, że przetwarza dane osobowe wnioskodawcy w zakresie: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i numer dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe wnioskodawcy (adres zameldowania, adres korespondencyjny, numer telefonu, adres email), dane zakładu pracy, a także dane niezbędne do oceny zdolności kredytowej: stan cywilny, informacje o dochodzie i jego źródle, dane o obciążeniach gospodarstwa domowego wnioskodawcy.

Bank wskazał, że dane osobowe wnioskodawcy w zakresie zapytań kredytowych z dnia 27 maja 2021 r. oraz z dnia 6 stycznia 2022 r. przetwarza w celach: – realizacji wymogów ostrożnościowych tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji banku wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (CRR), tj. art. 6 pkt 1. lit. c) RODO). Bank wskazał, że ogólne zasady tworzenia modeli służących tym celom określa m.in. CRR oraz rekomendacje KNF, powołując się na pkt 17.5 lit. e Rekomendacji T. Bank będzie przetwarzał dane w tym celu przez okres 6 lat od momentu rozpatrzenia wniosku; – wykonywania obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu (art. 6 pkt 1 lit. c rozporządzenia 2016/679).

Bank wskazał, że będzie przetwarzał dane w tym celu przez okres 5 lat; – analizy (indywidualnego i portfelowego) ryzyka kredytowego (art. 105a ust. 1-1c ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. 2021 poz. 2439 ze zm., zwana dalej p.b.) w zw. art. 6 pkt 1 lit. c rozporządzenia 2016/679), Bank wskazał, że będzie przetwarzał dane w tym celu przez okres 3 lat od momentu rozpatrzenia wniosku; – realizacji prawa do wyjaśnienia oceny zdolności kredytowej na podstawie art. 70a prawa bankowego (art. 6 pkt 1 lit. c rozporządzenia 2016/679) – 6 lat od rozpatrzenia wniosku na podstawie art. 118 Kodeksu cywilnego; – rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń – podstawą prawną jest realizacja prawnie uzasadnionego interesu banku (art. 6 pkt 1. lit. f rozporządzenia 2016/679). Bank wyjaśnił, że będzie przetwarzał dane w tym celu przez 6 lat od dnia rozpatrzenia wniosku w oparciu o terminy przedawnienia roszczeń na podstawie art. 118 Kodeksu cywilnego.

Bank wyjaśnił, że przekazał dane osobowe wnioskodawcy do Biura na podstawie umowy zawartej pomiędzy organami. Bank wysłał zapytania w celu przeprowadzenia oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 70 ust. 1 p.b. w zw. z art. 105 ust. 4 oraz 105a ust. 1 p.b.

W złożonych wyjaśnieniach Biuro wskazało, że dane w zakresie zapytań kredytowych z dnia 27 maja 2021 r. oraz z dnia 6 stycznia 2022 r. pozyskało od Banku, na podstawie art. 105 ust. 1 pkt 1c, art. 105 ust. 4 oraz art. 105a ust. 1 p.b., a także na podstawie łączącej Bank i Biuro umowy. Biuro wskazało, że przetwarza dane wnioskodawcy w zakresie zapytań w następujących celach: – w celu oceny zdolności kredytowej i analizy ryzyka kredytowego: przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej wnioskodawcy); nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania, w celu budowy modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego. Biuro buduje przedmiotowe modele w oparciu o przetwarzane w zbiorze Biura dane, w tym dane o złożonych zapytaniach.

Biuro wskazało, że na konieczność wykorzystania własnych i zewnętrznych baz danych przy ocenie zdolności kredytowej wskazuje również Komisja Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych, powołując się na Rekomendacje 10, 16.4, 1.4 a) tiret drugie, 1.4 b) tiret drugie, 17.5 e) oraz wstęp do Rekomendacji); – w celach statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli; – w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu; – w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia zgodnie z art. 118 Kodeksu cywilnego wynosi 6 lat (cele dowodowe). BIK wskazał, że podstawę prawną stanowi w tym przypadku art. 6 ust. 1 lit. f rozporządzenia 2016/679, a dodatkową przesłanką jest konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 rozporządzenia 2016/679 w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji; – w celu realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej na podstawie art. 70a p.b. Biuro wskazało również, że wnioskodawca ani bank nie zwracali się do Biura z wnioskiem o usunięcie danych o zapytaniach z dnia 27 maja 2021 r. i z dnia 6 stycznia 2022 r.

Wyjaśniając przesłanki rozstrzygnięcia zawartego w decyzji z dnia 25 lipca 2022 r., Prezes UODO przytoczył art. 105a ust. 1 w zw. z art. 70 ust. 1 p.b. i zwrócił uwagę na uprawnienie do przetwarzania danych osobowych wnioskodawcy przez Biuro i Bank w celu oceny zdolności kredytowej. Do zawarcia umowy kredytu pomiędzy wnioskodawcą i bankiem nie doszło, w związku z czym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych przez Bank oraz Biuro. Przesłanki zawarte w art. 105a p.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 p.b. dawałby podstawę do dalszego przetwarzania danych osobowych.

Ponadto celem przetwarzania danych osobowych była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez bank oceny zdolności kredytowej i analizy ryzyka kredytowego cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu.

W ocenie organu, za podstawę przetwarzania danych osobowych wnioskodawcy nie mogą być również uznane wskazane przez Biuro cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli. Powołany przez Biuro art. 105a ust. 4 p.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania, wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Jednak w przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawcą a bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powołanym przepisie.

Ponadto organ uznał, że zebrany w postępowaniu materiał dowodowy nie wykazał, aby Bank lub Biuro mogły przetwarzać dane osobowe wnioskodawcy, dotyczące zapytań kredytowych (z dnia 27 maja 2021 r. i z dnia 6 stycznia 2022 r.) na podstawie art. 106d p.b. w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, bowiem w toku prowadzonego postępowania nie wykazały, aby zaszła którakolwiek z przesłanek określonych w przepisach. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2 oraz nie wskazały także nałożonego na nich obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Odnosząc się do powołanego zarówno przez Bank, jak i przez Biuro, celu "ustalenia, dochodzenia lub obrony roszczeń", organ wskazał, że materiał dowodowy nie wykazał, aby wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec Banku lub Biura, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez wnioskodawcę tego roszczenia.

Bank i Biuro nie wskazały także na istnienie roszczeń, których dochodzą od wnioskodawcy. Wobec przesłanki z art. 6 ust. 1 lit. f rozporządzenia 2016/679 organ wskazał, że dotyczy ona sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f rozporządzenia 2016/679 oznaczałoby, że dane osobowe wnioskodawcy mogą być przetwarzane przez Bank i Biuro permanentnie, bez konieczności ich usunięcia.

Zdaniem organu brak jest podstaw do przyjęcia, iż terminy dotyczące przedawnienia roszczeń, wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i Biuro. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Brak jest także podstaw do przyjęcia, że bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 p.b.

Powołując się na doktrynę, Prezes UODO wskazał, że jeśli bank – w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) – nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy. Art. 70a p.b. nie przewiduje żadnego terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Nie oznacza to jednak, że można dane osobowe wnioskodawcy przetwarzać bezterminowo, gdyż byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art. 5 ust. 1 lit. e rozporządzenia 2016/679. Ponadto powstanie obowiązku, o którym mowa w art. 70a ust. 1 p.b., uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt.

Względem obowiązku wynikającego z art. 15 rozporządzenia 2016/679 Prezes UODO uznał, że brak jest uzasadnienia dla przyjęcia, iż Biuro jest uprawnione na podstawie tego obowiązku do przetwarzania danych osobowych wnioskodawcy. Usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w tym przepisie, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie – uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji.

W odniesieniu do wskazanego przez Bank celu realizacji wymogów ostrożnościowych, tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji banku wynikających z rozporządzenia nr 575/2013, organ wskazał, że z przepisów tego aktu prawnego nie wynika uprawnienie do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy. Instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem przepisów regulujących kwestie ochrony danych osobowych.

Ponadto, zdaniem organu, Bank niewłaściwie wskazuje jako podstawę przetwarzania danych wnioskodawcy Rekomendację T Komisji Nadzoru Finansowego dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. Bank był uprawniony do przetwarzania danych osobowych wnioskodawcy w celu oceny zdolności kredytowej. Do zawarcia umowy pomiędzy wnioskodawcą i Bankiem nie doszło, zatem odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych przez Bank. Celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez bank oceny zdolności kredytowej i analizy ryzyka kredytowego cel przetwarzania danych osobowych został zrealizowany, wobec czego brak jest podstaw prawnych do kontynuowania tego procesu.

W konkluzji organ stwierdził, że w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych wnioskodawcy zarówno przez Bank, jak i Biuro (z których każdy jest odrębnym administratorem). Organ uznał także – w odniesieniu do kwestionowanego przez wnioskodawcę przetwarzania jego danych osobowych przez Bank i Biuro – że w sprawie nie zaistniała żadna z wyrażonych w art. 6 ust. 1 rozporządzenia 2016/679 przesłanka, która stanowiłaby o legalności tego procesu. W tej sytuacji, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c rozporządzenia 2016/679, organ nakazał Bankowi i Biuru, usunięcie danych osobowych wnioskodawcy przetwarzanych w związku ze złożonymi zapytaniami kredytowymi (z dnia 27 maja 2021 r. i z dnia 6 stycznia 2022 r.).

Skargi do WSA w Warszawie na decyzję Prezesa UODO z dnia 25 lipca 2022 r. złożyli Bank i Biuro, wnosząc o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Bank kwestionowanej decyzji zarzucił: 1) art. 7, art. 77 § 1 i art. 80 k.p.a., polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiającej się w uznaniu, że Bank i Biuro nie dysponują przesłankami legalizującymi przetwarzanie danych osobowych wnioskodawcy, pomimo że przetwarzanie danych osobowych wnioskodawcy jest niezbędne do realizacji obowiązków prawnych ciążących na Banku i BIK oraz realizacji ich prawnie uzasadnionych interesów;

2) art. 7b k.p.a., polegające na braku zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych z m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych;

3) art. 6 ust. 1 lit. f rozporządzenia 2016/679 w zw. z art. 117 § 2 i § 21 art. 118 oraz art. 119 k.c. poprzez ich niewłaściwe zastosowanie, polegające na uznaniu, że obrona i dochodzenie roszczeń mogą dotyczyć wyłącznie już istniejących roszczeń;

4) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 39 ust. 1 w zw. z art. 34 ust. 1, art. 35 ust. 1, 36 ust. 1, oraz 49 u.p.p.p.f.t. poprzez ich niewłaściwe zastosowanie polegające na przyjęciu, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem – podczas gdy przepisy te nakładają na banki i Biuro obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez wnioskodawcę;

5) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 105 ust. 4 i 105a ust. 1 p.b. poprzez ich błędną wykładnię i przyjęcie, że bank jest jedynie obowiązany do dokonania oceny zdolności kredytowej klientów, podczas gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego;

6) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 105 ust. 4 p.b. poprzez ich błędną wykładnię i przyjęcie, że bank nie legitymuje się przesłanką do przetwarzania danych, podczas gdy z tego przepisu wynika obowiązek przetwarzania danych, w tym danych z zapytań kredytowych w zakresie, w jakim informacje te potrzebne są bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego;

7) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013 poprzez ich błędną wykładnię i przyjęcie, że na banku nie ciążą obowiązki związane z analizą ryzyka kredytowego wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem;

8) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 70a p.b. poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że bank może dokonać wyjaśnienia, dotyczącego dokonanej oceny zdolności kredytowej wnioskującego bez otrzymanych i przetwarzanych danych osobowych klienta tylko wtedy, gdy zawarł on umowę z bankiem;

9) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 106d p.b. poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank nie jest uprawniony do przetwarzania danych, w tym danych osobowych zawartych we wnioskach kredytowych celem wypełnienia obowiązków wynikających z prawa bankowego, podczas gdy wykazuje on cel przetwarzania danych osobowych polegający na analizie danych podanych we wnioskach kredytowych i analizie zapytań kredytowych złożonych w BIK w określonym czasie w celu wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d p.b.;

10) art. 6 ust. 1 lit. f rozporządzenia 2016/679 w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, polegające na ich niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych, wynikającą z art. 6 ust. 1 lit. f rozporządzenia 2016/679 w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, podczas gdy rekomendacje te nakładają na banki, a w konsekwencji także na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa.

Z kolei Biuro zaskarżonemu rozstrzygnięciu zarzuciło naruszenie: 1) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 p.b., poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że BIK nie posiada podstawy prawnej do przetwarzania danych zawartych we wniosku kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; ewentualnie, na wypadek nieuwzględnienia zarzutu 1), zarzucił naruszenie: 2) art. 6 ust. 1 lit. f rozporządzenia 2016/679 poprzez jego niewłaściwą wykładnię i w konsekwencji niezastosowanie wskutek przyjęcia, że skarżący nie posiada podstawy prawnej przetwarzania danych wnioskodawcy, opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt 1-5 p.b., w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;

3) art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a p.b. poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego;

4) art. 6 ust. 1 lit. e rozporządzenia 2016/679 poprzez jego niezastosowanie wskutek uznania, że Bank nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy w sytuacji nie zawarcia umowy kredytowej, podczas gdy Bank posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym;

5) art. 6 ust. 1 lit. f rozporządzenia 2016/679 poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń, podczas gdy istotą uzasadnionego interesu prawnego administratora jest możliwość przetwarzania danych przez okres przedawnienia roszczeń na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego, które to skarżący zobowiązany jest gromadzić, przetwarzać i udostępniać bankom dla realizacji celów ustawowych badania zdolności kredytowej;

6) art. 6 ust. 1 lit. f rozporządzenia 2016/679 poprzez błędne uznanie, że wskutek braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestnika postępowania, podczas gdy istnieje prawnie uzasadniony interes skarżącego w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym;

7) art. 6 ust. 1 lit. f rozporządzenia 2016/679 poprzez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań skarżącego jako administratora danych osobowych na zasadzie art. 5 ust. 2 rozporządzenia 2016/679 w postaci wykazania przestrzegania przepisów dotyczących jakości danych;

8) art. 7, w zw. z art. 77 § 1 i w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo–ekonomicznych dla jakich zostało powołane BIK oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania skarżącego, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych wnioskodawcy;

9) art. 7b w zw. z art. 7 w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności;

10) art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich BIK oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego;

11) art. 7, art. 77 w zw. z art. 80 k.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności przejawiającego się brakiem analizy treści skargi złożonej do Prezesa UODO przez wnioskodawcę pod kątem istnienia – po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom – oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie wnioskodawcy, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym;

12) art. 7, art. 77 w zw. z art. 80 k.p.a. poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w poczynieniu przez organ założenia, że wnioskodawca domagając się ochrony danych osobowych w postępowaniu przed organem liczy się z utratą możliwości uzyskania informacji wskazanych w art. 70a ust. 1 i 2 p.b. oraz, że wnioskodawca nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w art. 70a ust. 1 i 2 p.b., co ma uzasadniać odrzucenie przesłanki z art. 6 ust. 1 lit. c rozporządzenia 2016/679 w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a w zw. z art. 105 ust. 4 pkt 1 i 2 p.b. jako podstawy prawnej przetwarzania danych osobowych przez BIK, które to założenie nie znajduje potwierdzenia w materiale dowodowym sprawy;

13) art. 7, art. 77 w zw. z art. 80 poprzez niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, pomimo, iż przepisy prawa upoważniają skarżącego do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania skarżącemu usunięcia danych osobowych wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych;

14) art. 8 § 1 i 2 k.p.a. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej. Odpowiadając na skargi Prezes UODO wniósł o ich oddalenie.

W dniu 5 czerwca 2023 r. WSA w Warszawie wydał opisany na wstępie wyrok, którym oddalił skargi. W uzasadnieniu tego wyroku Sąd I instancji podkreślił, że w pełni akceptuje i podziela argumentację Prezesa UODO, zawartą w zaskarżonej decyzji, przyjmując ją za własną. Uzasadnienie decyzji, w opinii Sądu I instancji, jest pełne i wyczerpujące, tak jak tego wymaga art. 107 § 1 pkt 6 w zw. z art. 107 § 3 k.p.a. oraz art. 11 k.p.a.; odpowiada więc wymogom, określonym w przepisach art. 107 § 1 pkt 6 w zw. z art. 107 § 3 k.p.a. Prezes UODO rozważył wszystkie przepisy, które potencjalnie mogłyby legalizować przetwarzanie, tj. art. 6 ust. 1 i art. 58 ust. 2 lit. c) RODO, art.70 i 105a prawa bankowego, art. 33, art. 35 ust. 1, art. 41 ust. 1 pkt 1 i 4, art. 2 ust. 2 pkt 20, art. 49 ust. 1 u.p.p.p.f.t. (AML) i art. 118 k.c. W uzasadnieniu decyzji organ odniósł się do podniesionej przez Bank argumentacji, jak również rozszerzył ją o inne przepisy ustawy AML, rozporządzenia 2016/679 oraz kodeksu cywilnego, które w jego ocenie mogłyby mieć zastosowanie w niniejszej sprawie.

W ocenie Sądu I instancji, z uzasadnienia zaskarżonej decyzji wyraźnie wynikają przyczyny, z powodu których Prezes UODO uznał, że nieprawidłowy jest proces przetwarzania danych osobowych wnioskodawcy przez skarżące podmioty. Uzasadnienie zaskarżonej decyzji jest spójne wewnętrznie i logiczne, nie zawiera luk ani sprzeczności. Organ przeprowadził wymagane prawem postępowanie wyjaśniające, wystarczające dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy i dokonania oceny, czy zaistniały prawem przewidziane warunki do wydania decyzji. Analiza uzasadnienia zaskarżonej decyzji doprowadziła WSA w Warszawie do wniosku, że Prezes UODO dochował obowiązków wynikających z art. 80 k.p.a. i nie naruszył zasad swobodnej oceny dowodów.

Z kolei przed wydaniem zaskarżonej decyzji, zgodnie z obowiązującymi w tym zakresie przepisami k.p.a., organ poinformował skarżące podmioty o treści art. 10 § 1 k.p.a. tj. o zgromadzeniu materiału dowodowego, wystarczającego do wydania decyzji, na które skarżący nie zareagował i nie wskazał innych, aniżeli uprzednio podnoszone, podstaw przetwarzania danych osobowych wnioskodawcy.

Zdaniem WSA w Warszawie, w sprawie nie doszło też do naruszenia art. 107 § 1 pkt 4 w związku z art. 6 i art. 6 k.p.a. Ocena organu obejmowała legalność przetwarzania przez skarżących danych osobowych wnioskodawcy, prawidłowo więc jako podstawę decyzji wskazano właśnie art. 6 ust. 1 rozporządzenia 2016/679, który wymienia wszystkie przesłanki legalizujące takie działanie. Ponadto jako podstawę decyzji organ wskazał także art. 58 ust. 2 lit. c rozporządzenia 2016/679, przewidujący zastosowanie środka naprawczego w postaci nakazu. W ocenie Sądu I instancji, gdy nie doszło do zawarcia umowy kredytowej i wnioskodawca zwrócił się o usunięcie jego danych osobowych, Bank ani BIK nie miały podstaw prawnych do dalszego legalnego przetwarzania jego danych osobowych, w celach archiwalnych.

Tym samym organ nie naruszył art. 6 ust. 1 lit. c rozporządzenia 2016/679 w związku z art. 49 ust. 1 i 2 oraz w związku z art. 2 ust. 2 pkt 10 oraz art. 33 ust. 2, art. 34 ust. 1 pkt 1 i 2, art. 36 ust. 1 pkt 1 u.p.p.p.f.t. Ponadto zebrany przez organ w toku postępowania administracyjnego materiał dowodowy nie wykazał, by wnioskodawca wystąpił wobec Banku z jakimkolwiek roszczeniem, które uprawniłoby Bank lub BIK do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez niego roszczenia. Wobec powyższego zdaniem WSA w Warszawie nie ma możliwości uznania – za podstawę aktualnego przetwarzania danych osobowych wnioskodawcy – zabezpieczenia interesów Banku lub BIK na okoliczność ewentualnego dochodzenia przez wnioskodawcę roszczeń przed sądem.

Ponadto Sąd I instancji dostrzegł, że nawet gdyby BIK lub Bank zostali hipotetycznie pozwani, to nie muszą oni przechowywać tak daleko idących danych wnioskodawcy, jak ustalone w sprawie, na wypadek wystąpienia przez niego z ewentualnymi roszczeniami ("na zapas"), gdyż w potencjalnie wniesionym pozwie musiałyby one zostać przez wnioskodawcę podane, więc Bank lub BIK miałby do nich pełny wgląd.

Sąd I instancji podzielił stanowisko Prezesa UODO, że w niniejszej sprawie brak jest spełnienia przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów, realizowanych przez administratora odnośnie przetwarzania danych osobowych. Przesłanka z art. 6 ust 1 lit. f rozporządzenia 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

Z kolei zgodnie z art. 5 ust. 1 lit. e rozporządzenia 2016/679 dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"). Skarżące podmioty nie przetwarzają danych osobowych w interesie publicznym, tylko własnym, zatem przesłanka ta nie miała zastosowania w niniejszej sprawie.

Jednocześnie WSA w Warszawie zauważył, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń, wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym.

Pismem z dnia 3 sierpnia 2023 r. Bank wniósł skargę kasacyjną od wyroku WSA w Warszawie z dnia 5 czerwca 2023 r., zaskarżając go w części dotyczącej oddalenia skargi Banku. Bank zarzucił zaskarżonemu wyrokowi:

1. I. na podstawie art. 174 pkt 2 p.p.s.a. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. naruszenie:
2. 1) art. 151 p.p.s.a. poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów art. 7, art. 77 oraz 80 k.p.a. w zw. z art. 7 u.o.d.o. poprzez uznanie, że organ wyczerpująco rozpatrzył materiał dowodowy, oraz dokonał jego dowolnej oceny, przejawiającej się w: – uznaniu, że Bank nie dysponuje przesłankami legalizującymi przetwarzanie danych osobowych wnioskodawcy, pomimo że to przetwarzanie danych osobowych jest niezbędne do realizacji prawnie uzasadnionych interesów Banku w związku z obroną przed roszczeniami i/lub ich dochodzeniem oraz realizacją rekomendacji S, W i T Komisji Nadzoru Finansowego; – uznaniu, że przetwarzanie danych osobowych wnioskodawcy w celu obrony przed roszczeniami lub/i ich dochodzeniem skutkuje ich permanentnym przetwarzaniem mimo wskazania przez Bank wyraźnych ram czasowych takiego przetwarzania poprzez odniesienie do zasad przedawnienia roszczeń; – zaniechaniu zbadania okresów retencji danych osobowych obowiązujących w Banku, pomimo że wyznaczają one wyraźne granice przetwarzanie danych do każdego ze wskazanych przez Bank celów, w tym celów związanych z realizacją prawnie uzasadnionych interesów; – zaniechaniu zbadania realizacji przez Bank celów związanych z dokonywaniem analizy ryzyka kredytowego dla całego portfela kredytowego, podczas gdy należy je wyraźnie oddzielić od oceny zdolności kredytowej; – zaniechaniu zbadania wpływu usunięcia danych osobowych dotyczących niezrealizowanych wniosków kredytowych na stabilność sektora bankowego oraz możliwość realizacji obowiązków prawnych ciążących na Banku; – uznaniu, że Bank nie jest zobowiązany do realizacji obowiązków wynikających z ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu AML w sytuacji, gdy nie doszło do zawarcia umowy, podczas gdy Bank, jako instytucja obowiązana, jest zobowiązany do dokumentowania zastosowanych środków bezpieczeństwa finansowego w każdym przypadku; – zaniechaniu zbadania wpływu usunięcia danych osobowych dotyczących niezrealizowanych wniosków kredytowych na wiarygodność i skuteczność modeli scoringowych, które służą do oceny wiarygodności kredytowej klientów Banku; – uznaniu, że wniosek o usunięcie danych osobowych wnioskodawcy jest jednoznaczny ze świadomością braku uzyskania wyjaśnień dokonanej oceny zdolności kredytowej wnioskującego; – uznaniu, że obowiązki wynikające Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 ("CRR") w zakresie monitorowania zmian swojej ekspozycji kredytowej są możliwe do realizacji po usunięciu danych osobowych dotyczących niezrealizowanych wniosków kredytowych; – zaniechaniu zbadania konsekwencji braku przestrzegania rekomendacji KNF przez Bank w związku z usunięciem danych osobowych wnioskodawcy;
3. 2) art. 151 p.p.s.a. poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7b k.p.a. w zw. z art. 7 u.o.d.o., polegającego na braku zwrócenia się do KNF jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych z m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych w zakresie możliwym do pogodzenia z zasadami ochrony danych osobowych wynikającymi z RODO, co uniemożliwiło dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, a tym samym uwzględnienie interesu społecznego i słusznego interesu obywateli polegającego na ustaleniu zasad, które umożliwiłyby realizację obowiązków prawnych ciążących na Banku oraz jego prawnie uzasadnionych interesów w zgodzie z zasadami ochrony danych osobowych;
4. 3) art. 141 § 4 p.p.s.a. poprzez brak odniesienia się do wszystkich wskazanych zarzutów skargi, tj. brak odniesienia się do zarzutów Banku dotyczących naruszenia prawa materialnego, które miało wpływ na wynik sprawy:
5. – art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust 4 i 105a ust. 1 p.b. poprzez ich błędną wykładnię i przyjęcie, że Bank jest jedynie obowiązany do dokonania oceny zdolności kredytowej klientów, podczas gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego,
6. – art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 ("CRR") poprzez ich błędną wykładnię i przyjęcie, że na Banku nie ciążą obowiązki związane z analizą ryzyka kredytowego wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem,
7. – art. 6 ust. 1 lit. c RODO w zw. z art. 70a p.b. poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank może dokonać wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej wnioskującego bez otrzymanych i przetwarzanych danych osobowych klienta, tylko wtedy, gdy zawarł on umowę z bankiem,
8. – art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, polegające na ich niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, podczas gdy rekomendacje te nakładają na Bank, a w konsekwencji także na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa;
9. II. na podstawie art. 174 pkt 1 p.p.s.a. naruszenie prawa materialnego:
10. 1) art. 6 ust. 1 lit. c RODO (względnie: art. 6 ust. 1 lit. f RODO) w zw. z art. 105a ust. 1 w zw. z art. 9b ust. 1 p.b. oraz 9b ust. 2 pkt 2 p.b. poprzez ich niezastosowanie, podczas gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego, która dotyczy całego portfela kredytowego Banku, nieograniczającego się wyłącznie do oceny zdolności kredytowej konkretnej osoby wnioskującej o kredyt, ani też nie dotyczy wyłącznie powstałych już zobowiązań, a ocena ta służy do zapewnienia bezpieczeństwa i stabilności całego sektora finansowego oraz bezpieczeństwa finansowego osób wnioskujących o kredyt a także jest elementem systemu zarządzania ryzykiem, który stanowi obligatoryjny element systemu zarządzania w każdym banku;
11. 2) art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a CRR poprzez ich niezastosowanie mimo tego, że na Banku ciążą obowiązki wynikające z CRR związane z analizą ryzyka kredytowego także wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem, a prawidłowe wypełnianie obowiązków wynikających z CRR, wyklucza dowolne modyfikowanie stosowanych modeli scoringowych w trakcie ich stosowania czy też usuwanie danych a także wymaga przetwarzania danych osobowych pochodzących, między innymi, z niezrealizowanych wniosków kredytowych;
12. 3) art. 6 ust. 1 lit. c RODO w zw. z art. 39 ust. 1 w zw. z art. 34 ust. 1, art. 34 ust. 3, art. 35 ust. 1 pkt 1, 36 ust. 1, oraz 49 ust. 1 AML w związku z art. 106d ust. 1 pkt 3 p.b. poprzez ich niewłaściwą wykładnię, polegającą na przyjęciu, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu wówczas, gdy nie doszło do zawarcia umowy pomiędzy bankiem a klientem, podczas gdy banki, jako instytucje obowiązane w rozumieniu przepisów AML, mają obowiązek wykonania środków bezpieczeństwa finansowego oraz udokumentowania ich zastosowania przed nawiązaniem stosunków gospodarczych, a więc jeszcze przed ewentualnym powstaniem cechy trwałości tychże stosunków, a następnie przechowywania tych informacji przez terminy wskazane w art. 49 ust. 1 AML;
13. 4) art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1 i 2 p.b. poprzez ich niezastosowanie, pomimo że Bank jest obowiązany do przekazania pisemnych wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego także w sytuacji, gdy ostatecznie nie zawarł on umowy z bankiem; obowiązek przekazania tych wyjaśnień nie jest ograniczony wyłącznie do przypadków, gdy finalnie dochodzi do zawarcia umowy z wnioskującym;
14. 5) art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że: – obrona i dochodzenie roszczeń mogą dotyczyć wyłącznie już istniejących roszczeń; –prawnie uzasadnionym interesem administratora nie może być obrona przed roszczeniami lub dochodzenie roszczeń jeszcze nieskonkretyzowanymi w postaci wezwania lub pozwu; – upływ terminu przedawnienia pozostaje bez znaczenia dla sytuacji zarówno wierzyciela, jak i dłużnika i nie wyznacza ram czasowych przetwarzania danych osobowych – podczas gdy prawnie uzasadnionym interesem Banku jest konieczność zapewnienia sobie możliwości podjęcia skutecznej obrony w wypadku, gdy wnioskodawca wystosowałby wobec niego w przyszłości roszczenia związane z niezrealizowanym wnioskiem kredytowym lub w sytuacji, gdy takie roszczenie Banku powstałby w przyszłości;
15. 6) art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie, podczas gdy: – prawnie uzasadnionym interesem Banku jest stosowanie Rekomendacji S, W i T, wydanych przez Komisję Nadzoru Finansowego, ponieważ zawierają one listę konkretnych oczekiwań, które winny być spełnione przez każdy bank i zostały wydane przez organ nadzorczy, któremu kontroli podlegają, a prawnie uzasadniony interes nie musi wynikać z przepisów powszechnie obowiązującego prawa, musi być jedynie z nimi zgodny; – brak wdrożenia rekomendacji KNF może skutkować podjęciem działań kontrolnych wobec Banku.

W konsekwencji naruszeń wskazanych w pkt 1-6 powyżej Sąd I instancji błędnie uznał, że Bank nie dysponuje przesłankami legalizującymi przetwarzanie danych osobowych wnioskodawcy.

Bank wniósł o uchylenie zaskarżonego wyroku w części dotyczącej oddalenia skargi Banku oraz przekazanie sprawy w tym zakresie do ponownego rozpoznania WSA w Warszawie, a także o zasądzenie na jego rzecz kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. W uzasadnieniu skargi kasacyjnej przedstawiono argumentację na poparcie sformułowanych zarzutów i wniosków.

Pismem z dnia 4 sierpnia 2023 r. Biuro wniosło skargę kasacyjną od wyroku WSA w Warszawie z dnia 5 czerwca 2023 r., zaskarżając go w części dotyczącej oddalenia skargi Biura. Biuro zaskarżonemu wyrokowi zarzuciło:

1. I. na podstawie art. 174 pkt 2 p.p.s.a., naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.:
2. 1) art. 141 § 4 p.p.s.a. poprzez niedostateczne wyjaśnienie przez WSA w Warszawie w treści uzasadnienia podstaw prawnych rozstrzygnięcia, przejawiające się w szczególności brakiem przeanalizowania wszystkich podstaw prawnych przetwarzania wskazanych przez Biuro oraz brakiem odniesienia się do wszystkich zarzutów sformułowanych przez Biuro w skardze na decyzję Prezesa UODO, co w konsekwencji doprowadziło do braku rozpoznania sprawy w całości oraz uniemożliwiło BIK zapoznanie się a z powodami oddalenia skargi;
3. 2) art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 UODO, poprzez uznanie przez WSA w Warszawie, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy organ ten:
4. – zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane Biuro oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących Biuro do przetwarzania danych osobowych;
5. – zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez BIK danych osobowych wnioskodawcy w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące BIK do przetwarzania danych osobowych wnioskodawcy;
6. – nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia – po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom – oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie wnioskodawcy, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez BIK danych osobowych wnioskodawcy w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące BIK do przetwarzania danych osobowych wnioskodawcy;
7. – nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo, iż przepisy prawa upoważniają BIK do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących BIK do przetwarzania danych osobowych – co w konsekwencji doprowadziło do oddalenia skargi przez WSA w Warszawie w skutek błędnego przyjęcia przez Sąd I instancji braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji Biura do przetwarzania danych osobowych wnioskodawcy;
8. 3) art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 UODO poprzez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez organ stosownych czynności, w tym zasadnie zaniechał zwrócenia się do Komisji Nadzoru Finansowego, podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego Prezes UODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA w Warszawie nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny;
9. II. na podstawie art. 174 pkt 1 p.p.s.a. naruszenie przepisów prawa materialnego, tj.:
10. 1) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 p.b. poprzez jego niezastosowanie przejawiające się w przyjęciu, że w sytuacji, gdy nie doszło pomiędzy wnioskodawcą a Bankiem do zawarcia umowy kredytowej, BIK nie był uprawniony do przetwarzania danych osobowych wnioskodawcy a w konsekwencji przyjęcie, że BIK nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu w przypadku nie zawarcia umowy kredytowej, podczas gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;
11. 2) art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a p.b. poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na BIK obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że BIK nie posiada podstawy prawnej do przetwarzania danych w sytuacji nie zawarcia umowy o kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego;
12. 3) art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym;
13. 4) art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale niedochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej wnioskodawcy niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to BIK zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej;
14. 5) art. 6 ust. 1 lit. f RODO poprzez niewłaściwe zastosowanie poprzez przyjęcie, że wskutek braku zawarcia umowy kredytowej BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych, podczas gdy istnieje prawnie uzasadniony interes skarżącego w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym;
15. 6) art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że Biuro nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań BIK jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych.

Biuro wniosło o uchylenie wyroku w zaskarżonej części i przekazanie do ponownego rozpoznania WSA w Warszawie, na podstawie art. 176 w zw. z art. 185 § 1 p.p.s.a., oraz zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych.

Odpowiadając na skargi kasacyjne, Prezes UODO wniósł o ich oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje.

Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2026 r. poz. 143, dalej p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W niniejszej sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Rozpoznawszy skargi kasacyjne z uwzględnieniem powyższych uwarunkowań, Naczelny Sąd Administracyjny stwierdził, że nie mają one usprawiedliwionych podstaw i tym samym podlegają oddaleniu.

Zarzuty skarg kasacyjnych – choć są rozbudowane i dotyczą zarówno naruszenia prawa materialnego, jak i naruszenia przepisów postępowania – w istocie oscylują wokół jednego kluczowego w niniejszej sprawie zagadnienia, jakim jest dopuszczalność przetwarzania przez Bank oraz BIK danych osobowych wnioskodawcy w zakresie wynikającym z zapytań kredytowych niezakończonych udzieleniem kredytu. Zagadnienie to – na gruncie spraw o w pełni analogicznych uwarunkowaniach faktycznych i, co równie ważne, w kontekście tożsamych zarzutów kasacyjnych – było już rozważane przez Naczelny Sąd Administracyjny w szczególności w wyrokach: z dnia 27 marca 2026 r., III OSK 753/23; z dnia 15 maja 2026 r., III OSK 1247/23; z dnia 15 maja 2026 r., III OSK 2636/23. Naczelny Sąd Administracyjny w składzie rozpoznającym niniejszą sprawę w pełni podziela argumentację zaprezentowaną w powołanych wyrokach, toteż argumentacja przedstawiona dalej jest z nią zasadniczo zbieżna.

Odnosząc się w pierwszej kolejności do podniesionego w obu skargach kasacyjnych zarzutu naruszenia art. 141 § 4 p.p.s.a., zauważyć trzeba, że przepis ten traktuje o elementach uzasadnienia wyroku i stanowi, że uzasadnienie wyroku powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Zarzut naruszenia art. 141 § 4 p.p.s.a. może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie, i gdy w ramach przedstawienia stanu sprawy wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania.

Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za pomocą odnośnego zarzutu nie można skutecznie zwalczać ustaleń sądu co do stanu faktycznego ani kwestionować stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. W ramach rozpatrywania zarzutu naruszenia art. 141 § 4 p.p.s.a. Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi ze statuowanej tym przepisem normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. wyrok NSA z dnia 27 września 2024 r., III OSK 2850/22).

W ocenie Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 p.p.s.a., wyjaśnia motywy podjętego przez Sąd I instancji rozstrzygnięcia i tym samym sprawia, że poddaje się ono kontroli instancyjnej. W szczególności Sąd I instancji wyjaśnił powody, dla których uznał – a w tym tkwi istota niniejszej sprawy – że przetwarzanie danych osobowych wnioskodawcy nie ma umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank i BIK. Sąd I instancji miał przy tym na względzie również art. 6 ust. 1 lit. c i lit. f RODO. "Fakt, że stanowisko zajęte przez sąd administracyjny I instancji jest odmienne od prezentowanego przez wnoszącego skargę kasacyjną nie oznacza, iż uzasadnienie zaskarżonego wyroku zawiera wady konstrukcyjne, nie poddaje się kontroli kasacyjnej, czy też, że jest wadliwe w stopniu uzasadniającym uchylenie wydanego w sprawie rozstrzygnięcia.

Co więcej, również brak odniesienia się przez wojewódzki sąd administracyjny do niektórych zarzutów lub twierdzeń zawartych w skardze sam w sobie nie stanowi uchybienia skutkującego koniecznością uchylenia zaskarżonego wyroku, albowiem jest, czy też może nim być – to jest uchybieniem stanowiącym uzasadnioną podstawę uchylenia wyroku – pominięcie zarzutów i argumentów istotnych oraz – co istotne – wykazanie w skardze kasacyjnej takiego właśnie ich charakteru, a mianowicie, że należycie je oceniając oraz prawidłowo identyfikując z ich punktu widzenia istotę spornego w sprawie zagadnienia, sąd ten mógłby jednak inaczej orzec w sprawie" (wyrok NSA z dnia 17 grudnia 2025 r., II GSK 1073/22). Zarzut naruszenia art. 141 § 4 p.p.s.a. nie mógł zatem odnieść zamierzonego skutku.

W pozostałych zarzutach sformułowanych w ramach drugiej podstawy kasacyjnej strony skarżące kasacyjnie zarzuciły WSA w Warszawie naruszenie art. 151 p.p.s.a. w powiązaniu z art. 7, art. 77 oraz art. 80 k.p.a. oraz art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm., dalej "u.o.d.o."), a także w powiązaniu z art. 7b k.p.a. i art. 7 u.o.d.o. (skarga kasacyjna Banku), a ponadto naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a. w powiązaniu z art. 7, art. 77 § 1 i art. 80 k.p.a. oraz art. 7 u.o.d.o. tudzież w powiązaniu z art. 7b, art. 7, art. 77 k.p.a. i art. 7 u.o.d.o. (skarga kasacyjna BIK). Treść i argumentacja tych zarzutów naruszenia przepisów postępowania koncentruje się w obu skargach kasacyjnych na próbie wytknięcia nieprawidłowości w przeprowadzonym przez Prezesa UODO postępowaniu, dotyczących zaniechania dokonania wyczerpującej analizy wszystkich okoliczności sprawy i skutkujących nieprawidłowym stwierdzeniem przez organ, a następnie Sąd I instancji, braku przesłanek legalizujących przetwarzanie danych osobowych uczestnika postępowania przez Bank oraz BIK S.A.

W omawianych zarzutach wskazano ponadto na zaniechanie organu w zakresie zwrócenia się do Komisji Nadzoru Finansowego oraz Generalnego Inspektora Informacji Finansowej w celu dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mimo że – w ocenie stron skarżących kasacyjnie – było to niezbędne do kompleksowego wyjaśnienia sprawy.

Zważywszy na konstrukcję odnośnych zarzutów, w ramach których strony skarżące kasacyjnie zarzucają naruszenie przez WSA w Warszawie art. 151 i art. 145 § 1 pkt 1 lit. c p.p.s.a. w powiązaniu z przepisami k.p.a. oraz u.o.d.o., przede wszystkim podkreślenia wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego ugruntowane jest stanowisko, że przepisy art. 151 i art. 145 § 1 pkt 1 lit. c p.p.s.a., podobnie zresztą jak art. 146 § 1, art. 147, art. 149 § 1, czy też art. 161 § 1 p.p.s.a., mają charakter ogólny (blankietowy) i określają kompetencje sądu administracyjnego w fazie orzekania. Tego typu przepisy nie mogą więc stanowić samodzielnej podstawy kasacyjnej. Strona skarżąca kasacyjnie, chcąc powołać się na zarzut naruszenia art. 151, czy art. 145 § 1 pkt 1 lit. c p.p.s.a., zobowiązana jest więc bezpośrednio powiązać omawiany zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – Sąd I instancji uchybił w toku rozpoznania sprawy.

Naruszenie tych przepisów jest zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym. Ponadto, skoro jedna ze stron skarżących kasacyjnie (BIK) wytyka Sądowi I instancji naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a., zauważyć trzeba, że WSA w Warszawie, oddalając skargę na podstawie art. 151 p.p.s.a., nie stosował art. 145 § 1 pkt 1 lit. c p.p.s.a., a zatem w założeniu nie mógł tego przepisu naruszyć. Z kolei w zakresie, w którym zarzucono m.in. naruszenie "art. 77" k.p.a. i "art. 7" u.o.d.o., nie zachowano wymogów konstrukcyjnych skargi kasacyjnej. Przez podstawę kasacyjną należy bowiem rozumieć konkretny przepis prawa, którego naruszenie przez Sąd I instancji zarzuca skarga kasacyjna. W odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu.

Warunek przytoczenia podstawy zaskarżenia i ich uzasadnienia nie jest spełniony, gdy skarga kasacyjna zawiera wywody zmuszające Sąd kasacyjny do domyślania się, który przepis skarżący miał na uwadze, podnosząc zarzut naruszenia prawa materialnego lub procesowego. Naruszony przez Sąd I instancji przepis musi być wyraźnie wskazany, gdyż w przeciwnym razie ocena zasadności skargi kasacyjnej nie jest możliwa. Naczelny Sąd Administracyjny jest związany granicami skargi kasacyjnej i nie ma w związku z tym kompetencji do dokonywania za wnoszącego skargę kasacyjną wyboru, który przepis prawa został naruszony i dlaczego. Stanowi to powinność autora skargi kasacyjnej, który jest profesjonalnym pełnomocnikiem strony. Tymczasem strony skarżące kasacyjnie nie dostrzegają, że art. 77 k.p.a. składa się z mniejszych jednostek redakcyjnych, tj. z czterech paragrafów, a art. 7 u.o.d.o. składa się z 4 ustępów – i nie wskazują konkretnych jednostek redakcyjnych tych przepisów, które ich zdaniem zostały naruszone (por. powołany wyżej wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23).

Niezależnie od powyższego, odnosząc się do zarzutów naruszenia przepisów k.p.a. oraz art. 7 u.o.d.o., z którymi powiązano zarzuty naruszenia art. 151 p.p.s.a.i niestosowanego w sprawie art. 145 § 1 pkt 1 lit. c p.p.s.a. – wskazać należy, że wbrew twierdzeniom skarżących kasacyjnie w rozpoznawanej sprawie wszystkie istotne okoliczności z punktu widzenia przedmiotu postępowania dotyczącego przetwarzania zarówno przez Bank, jak i BIK, danych osobowych uczestnika postępowania w zakresie zapytań kredytowych z dnia 27 maja 2021 r. i z dnia 6 stycznia 2022 r., niezakończonych udzieleniem kredytu – zostały należycie wyjaśnione, a zgromadzone dowody związane z tym przetwarzaniem danych, w tym również wyjaśnienia administratorów danych, zostały poddane wszechstronnej i odpowiadającej prawu ocenie; wyjaśniano również wyczerpująco podstawy prawne działania organu. Podkreślić w tym miejscu wypada, że w postępowaniu sądowoadministracyjnym sąd nie ustala stanu faktycznego, lecz bada, czy w trakcie postępowania administracyjnego zostały ujawnione wszystkie okoliczności istotne dla wydania decyzji, czy były one uwzględnione przy wydaniu decyzji i w jaki sposób zostały ocenione przez organ.

Sąd I instancji prawidłowo wywiązał się z tego obowiązku, dokonał poprawnej oceny zaskarżonej decyzji i słusznie przyjął ustalony przez organ stan faktyczny za odpowiadający wymogom prawa. Organ prowadząc postępowanie w niniejszej sprawie podjął wszelkie niezbędne kroki do dokładnego wyjaśnienia stanu faktycznego sprawy; zebrał i rozpatrzył cały materiał dowodowy, wskazując podstawy podjętego rozstrzygnięcia, a ocena ta nie narusza zasady swobodnej oceny dowodów. W ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego należy odnieść do zakresu wynikającego z materialnoprawnej podstawy rozstrzygnięcia. Innymi słowy, organ nie ma obowiązku ustalania faktów niemających znaczenia dla rozstrzygnięcia sprawy.

Ponadto należy zwrócić uwagę na specyfikę unormowań RODO w zakresie wyjaśniania istotnych okoliczności sprawy. Zgodnie z art. 31 RODO, administrator i podmiot przetwarzający oraz – gdy ma to zastosowanie – ich przedstawiciele na żądanie współpracują z organem nadzorczym w ramach wykonywania przez niego swoich zadań. Z przepisem tym koresponduje treść art. 58 ust. 1 lit. a i e RODO, z których wynika, że do kompetencji organu nadzorczego w zakresie prowadzonych postępowań należy "nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań" oraz "uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań", a – zgodnie z art. 5 ust. 2 RODO i wynikającej z niego zasady "rozliczalności" – administrator jest odpowiedzialny za przestrzeganie przepisów art. 5 ust. 1 RODO i musi być w stanie wykazać ich przestrzeganie, w czym przede wszystkim mieści się obowiązek przetwarzania danych osobowych zgodnie z prawem.

Na tle tych regulacji wystąpienie przez organ nadzorczy do administratorów danych osobowych o dostarczenie wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań – co miało miejsce w realiach niniejszej sprawy – i skoncentrowanie się na ocenie przedłożonych wyjaśnień i dokumentacji, stanowi wypełnienie obowiązków organu nadzorczego wynikających z zasady prawdy obiektywnej. Mając to na uwadze, w ocenie Naczelnego Sądu Administracyjnego, wszystkie istotne z punktu widzenia podstawy materialnoprawnej rozstrzygnięcia fakty zostały prawidłowo ustalone i prawidłowo ocenione w postępowaniu wyjaśniającym. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy (por. powołany wyżej wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23).

Odnosząc się zaś do zarzutu naruszenia w sprawie art. 7b k.p.a. poprzez zaniechanie organu w zakresie zwrócenia się do Komisji Nadzoru Finansowego oraz do Generalnego Inspektora Informacji Finansowej, w ramach współdziałania, w celu dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy – stwierdzić należy, że zarzut ten jest niezasadny. Zgodnie z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. Instytucja współdziałania organów określona we wskazanej regulacji znajduje zatem zastosowanie w sytuacjach, gdy w celu wyjaśnienia stanu faktycznego i prawnego sprawy organ powinien podjąć współpracę z innymi organami administracji publicznej, co do których istnieje przypuszczenie, że dysponują danymi lub informacjami, które mogą przyczynić się do wyjaśnienia stanu faktycznego lub prawnego sprawy.

Organy administracji publicznej są obowiązane do współdziałania w celu "dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy" w niezbędnym do tego zakresie. Organ prowadzący postępowanie jest obowiązany zwracać się w tym celu do właściwych organów administracji publicznej z odpowiednimi wnioskami i żądaniami, jeżeli poweźmie przypuszczenie, że posiadane przez te organy dane i informacje lub inne środki mogą przyczynić się do "dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy" (A. Wróbel, w: M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel, Komentarz aktualizowany do Kodeksu postepowania administracyjnego, Warszawa 2024). Słuszne jest jednak stanowisko Sądu I instancji, że w niniejszej sprawie wystąpienie przez Prezesa UODO – jako organu wyspecjalizowanego w zakresie przepisów dotyczących ochrony danych osobowych – do innych organów nie było celowe ani konieczne, a brak współpracy w tym zakresie nie stanowił naruszenia art. 7b k.p.a. Zgodnie z trafnymi poglądami wyrażanymi w orzecznictwie NSA "Prezes UODO jest wyspecjalizowanym organem w sprawach ochrony danych osobowych, który ma status i kompetencje organu nadzorczego określone w przepisach RODO.

Z tego względu Prezes UODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. (...) Prezes UODO nie ma zatem obowiązku zwracania się do KNF ani w zakresie dokonywanych ustaleń stanu faktycznego, ani w zakresie wyjaśnień stanu prawnego. Jedynym zadaniem i celem Prezesa UODO jest kontrola, czy pozyskane przez administratora dane osobowe są przetwarzane w sposób prawidłowy i zgodny z przepisami o ich ochronie, tj. w sposób adekwatny do celu jakiemu mają one służyć oraz warunkom jego realizacji, a nie innym celom i potrzebom systemu bankowego" (por. wyrok NSA z dnia 10 lipca 2025 r., III OSK 165/22). W realiach niniejszej sprawy stan faktyczny i prawny sprawy został przez Prezesa UODO prawidłowo ustalony i należycie rozpatrzony w ramach kompetencji nadzorczych organu, w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku i BIK, a więc nie zachodziły przesłanki do podjęcia współdziałania z innymi organami administracji publicznej w oparciu o art. 7b k.p.a. w celu wydania rozstrzygnięcia w sprawie (por. powołany wyżej wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23).

W związku z nieskutecznością zarzutów sformułowanych w oparciu o drugą podstawę kasacyjną zaznaczyć należy, że zarzuty naruszenia przepisów postępowania służą m.in. kwestionowaniu ustaleń i ocen w zakresie stanu faktycznego sprawy. Wobec braku tego rodzaju skutecznych zarzutów w niniejszej sprawie Naczelny Sąd Administracyjny w procesie kontroli instancyjnej przyjmuje, jako niezakwestionowany punkt odniesienia, stan faktyczny i jego ocenę przyjęte przez Sąd I instancji.

Przechodząc do oceny zarzutów sformułowanych przez strony skarżące kasacyjnie w ramach pierwszej podstawy kasacyjnej przypomnieć należy, że naruszenie prawa materialnego może przejawiać się w dwóch postaciach: jako błędna wykładnia albo jako niewłaściwe zastosowanie określonego przepisu prawa. Podnosząc zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd subsumcji, czyli że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada lub nie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi, jak w jego ocenie powinna być rozumiana norma zawarta w stosowanym przepisie prawa, czyli jaka powinna być jego prawidłowa wykładnia.

Jednocześnie należy podkreślić, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy.

Zarzuty naruszenia prawa materialnego sformułowane przez strony skarżące kasacyjnie nie mogą odnieść skutku przede wszystkim z uwagi na ich błędną konstrukcję. Zarówno w skardze kasacyjnej Banku, jak i BIK, większość zarzutów zostało sformułowanych jako "niezastosowanie" przepisów RODO, tj. art. 6 ust. 1 lit. c, lit. e i lit. f w powiązaniu z przepisami ustawy z dnia 26 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2026 r., poz. 38), tj. art. 9b ust. 1 i ust. 2 pkt 2, art. 105 ust. 1 pkt 1c, art. 105 ust. 4, art. 105a ust. 1, art. 106 d ust. 1 pkt 3, art. 70, art. 70a ust. 1 i 2 i art. 5 ust. 1 pkt 3 oraz Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1, dalej "CRR"), tj. art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, art. 171 ust. 2, art. 179 ust. 1 lit. a.

Abstrahując od braku precyzji w przywoływaniu niektórych przepisów, których naruszenie zarzuca się w skargach kasacyjnych, wskazać należy, że w orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie". Zgodnie jednak z dominującym poglądem wyrażanym w orzecznictwie sądowoadministracyjnym, w ramach pierwszej podstawy kasacyjnej możliwe jest również kwestionowanie niezastosowania określonego przepisu prawa, z tym jednak zastrzeżeniem, że jeżeli strona skarżąca kasacyjnie podnosi w skardze kasacyjnej, że Sąd rozpoznający sprawę zastosował nie ten przepis prawa materialnego, który powinien być zastosowany, to powinna wskazać przepis właściwy jako podstawę materialną rozstrzygnięcia i uzasadnić, dlaczego ten właśnie przepis powinien lec u podstaw kwestionowanego rozstrzygnięcia, tj. dlaczego powinien być zastosowany.

Zarzut niewłaściwego zastosowania prawa materialnego w postaci pozytywnej, czyli zarzucenia zastosowania normy prawnej, która nie powinna być w danej sprawie zastosowana, a także w postaci negatywnej, czyli zarzucenia niezastosowania normy prawnej, która w ocenie wnoszącego skargę kasacyjną powinna być zastosowana, wymaga należytej precyzji w jego konstruowaniu w konkretnej sprawie. Niezastosowany przez sąd w procesie kontroli przepis prawa materialnego może stanowić podstawę skargi kasacyjnej, jeżeli w konkretnym stanie faktycznym istniały podstawy do dokonania subsumcji, a sąd nie dostrzegając właściwej podstawy oparł swoje rozstrzygnięcie na podstawie niewłaściwej.

Należy zatem stwierdzić, że nie dyskwalifikowałoby omawianych zarzutów skarg kasacyjnych wskazanie przez strony skarżące kasacyjnie na niezastosowanie odnośnych przepisów jedynie wtedy, gdyby strony skarżące kasacyjnie jednocześnie przywołały przepis lub przepisy, które w ich przekonaniu zostały wadliwie zastosowane zamiast przepisów przez nie wskazywanych wraz z podaniem uzasadnienia tego stanowiska. Jednak wymogu tego skargi kasacyjnie nie spełniają, co tym samym czyni podnoszone zarzuty niezastosowania przepisów prawa materialnego nieskutecznymi (por. powołany wyżej wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23, oraz wskazane tam orzecznictwo i piśmiennictwo).

Niezależnie od powyższego, o nieskuteczności zarzutów naruszenia prawa materialnego sformułowanych przez BIK oraz Bank jako "niezastosowanie" wskazywanych w nich przepisów świadczy również ich treść, z której ewidentnie wynika, że strony skarżące kasacyjnie na podstawie wszystkich zarzutów niezastosowania wskazywanych przez nie przepisów kwestionują ustalenia i oceny w zakresie stanu faktycznego sprawy. Skarżący kasacyjnie Bank w treści tych zarzutów nr 1, 2, 4, 5, 6 podniesionych w ramach pierwszej podstawy kasacyjnej, odnosi się do interesów i obowiązków konkretnego Banku (skarżącego kasacyjnie) w stanie faktycznym niniejszej sprawy.

Również skarżący kasacyjnie BIK w treści zarzutów nr 1, 2, 3, 6, podniesionych w ramach pierwszej podstawy kasacyjnej, odnosi się do obowiązków BIK w związku z wnioskiem uczestnika postępowania i relacji prawnej tegoż uczestnika z Bankiem jako podstaw przetwarzania danych osobowych tego właśnie uczestnika. Kwestii poprawności oceny interesów i obowiązków (lub ich braku) stron skarżących kasacyjnie nie sposób zweryfikować, skoro w obydwu skargach kasacyjnych nie wskazano ani błędnego zastosowania, ani błędnej wykładni przepisów, na których organ nadzoru oparł w tym zakresie swoje stanowisko następnie zaakceptowane przez Sąd I instancji. W związku z konstrukcją skarg kasacyjnych w omawianym zakresie należy podkreślić, że zgodnie z ugruntowanymi poglądami prezentowanymi w orzecznictwie Naczelnego Sądu Administracyjnego niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania, zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych.

Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego. Ocena zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy. Jeżeli strona skarżąca kasacyjnie uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie (czy niezastosowanie) jest co najmniej przedwczesny, zaś zarzut naruszenia prawa przez błędną jego wykładnię – niezasadny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu. Omawiane zarzuty naruszenia prawa materialnego, poprzez ich niezastosowanie, sformułowane przez Bank oraz BIK okazały się niezasadne również z tego powodu (por. powołany wyżej wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23, oraz wskazane tam orzecznictwo).

Z tych samych powodów nie mogły odnieść skutku dwa z zarzutów skargi kasacyjnej BIK sformułowane jako zarzuty niewłaściwego zastosowania art. 6 ust. 1 lit. f RODO (zarzut nr 4 i nr 5), a także zarzut ze skargi kasacyjnej Banku sformułowany jako zarzut dokonania błędnej wykładni art. 6 ust. 1 lit. c RODO w związku z art. 39 ust. 1, art. 34 ust. 1 i ust. 3 oraz art. 35 ust. 1 pkt 1, art. 36 ust. 1 oraz art. 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2025 r., poz. 644 ze zm., dalej także "ustawa AML") w związku z art. 106d ust. 1 pkt 3 ustawy Prawo bankowe (zarzut nr 3). W odniesieniu do tych zarzutów należy dodatkowo podkreślić, że skoro niewłaściwe zastosowanie prawa materialnego oznacza błąd w zakresie subsumcji stanu faktycznego wobec treści stosowanej normy prawnej, to może ono być konsekwencją wcześniejszych błędnych ustaleń w zakresie stanu faktycznego, jak i błędnej wykładni prawa materialnego, ale może mieć miejsce również wtedy, gdy prawidłowe są ustalenia i oceny w zakresie stanu faktycznego oraz wykładnia prawa materialnego, a wadliwość przejawia się wyłącznie w zestawieniu stanu faktycznego ze stanem prawnym sprawy.

W rozpatrywanych skargach kasacyjnych nie zakwestionowano skutecznie ustaleń i ocen w zakresie stanu faktycznego sprawy. Nie podważono również prawidłowości wykładni prawa materialnego stosowanego w realiach niniejszej sprawy, bowiem w skardze kasacyjnej BIK w ogóle nie podniesiono zarzutu błędnej wykładni prawa materialnego, a treść zarzutu błędnej wykładni prawa materialnego podniesionego w skardze kasacyjnej Banku w istocie nie wykazuje błędów organu nadzorczego ani Sądu I instancji w rozumieniu poszczególnych przepisów objętych zarzutem (odnosi się do obowiązków konkretnego Banku – skarżącego kasacyjnie, a ponadto jest zrelatywizowana do poglądu, którego Sąd I instancji nie wyraził). Skoro zatem w skargach kasacyjnych nie podważono prawidłowości dokonanej przez Sąd I instancji wykładni prawa materialnego ani prawidłowości ustaleń i ocen w zakresie stanu faktycznego sprawy, to dla oceny zasadności zarzutu niewłaściwego zastosowania prawa materialnego istotne pozostaje zweryfikowanie, czy strona skarżąca kasacyjnie wykazała, że Sąd I instancji w przyjętym przez ten Sąd stanie faktycznym i prawnym sprawy dokonał ich wadliwego zestawienia.

W ocenie Naczelnego Sądu Administracyjnego treść omawianych zarzutów niewłaściwego zastosowania prawa materialnego nie daje podstaw do przyjęcia wypełnienia tego obowiązku przez stronę skarżącą kasacyjnie, co czyni omawiane zarzuty nieskutecznymi.

W świetle niezakwestionowanej skutecznie wykładni prawa materialnego oraz niezakwestionowanych ustaleń i ocen w zakresie stanu faktycznego sprawy, zasadne jest stwierdzenie przez Naczelny Sąd Administracyjny, że stanowisko Sądu I instancji w zakresie oceny procesu subsumcji prawa dokonanej przez organ nadzorczy jest konsekwentne i prawidłowe. Na tym tle należy zaakceptować dokonaną przez Sąd I instancji generalną ocenę istoty niniejszej sprawy, tj. dopuszczalności przetwarzania danych osobowych uczestnika postępowania zarówno przez Bank, jak i BIK, w celu oceny zdolności kredytowej, czy też – jak podkreśla to Bank – ryzyka kredytowego, w przypadku niezawarcia stosownej umowy z uczestnikiem postępowania kierującego uprzednio do Banku zapytanie kredytowe. Trafne jest stanowisko WSA w Warszawie, który stwierdził, że takie przetwarzanie danych osobowych uczestnika postępowania pozostawałoby w oderwaniu od celu, dla którego dane te pozyskano, stanowiłoby przetwarzanie danych osobowych "na przyszłość" czy też "na zapas" i nie znajdowałoby podstaw w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych.

Zgodnie z art. 6 ust. 1 lit. c RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej m.in. warunek, zgodnie z którym "przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Ochrona osób fizycznych w związku z przetwarzaniem ich danych osobowych gwarantowana przez RODO jest wyrazem ochrony prawnej na poziomie konstytucyjnym jednego z istotnych aspektów prawa do prywatności, bowiem z art. 51 ust. 1 Konstytucji RP wynika, że "Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby". Wykładnia przesłanek umożliwiających konieczne ze względu na inne wartości osłabienie tej ochrony powinna być ścisła. Jeśli pod pojęciem obowiązku prawnego rozumie się rodzaj zachowania, które norma prawna nakazuje lub zakazuje zrealizować swojemu adresatowi, to obowiązek prawny ciążący na administratorze powinien znajdować podstawę prawną w wyraźnie skierowanym do niego w akcie rangi ustawowej nakazie lub zakazie określonego zachowania.

Ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane tylko w ustawie i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób. Ograniczenia te nie mogą naruszać istoty wolności i praw (art. 31 ust. 3 Konstytucji). Obowiązek prawny, o jakim mowa w art. 6 ust. 1 lit. c RODO, musi mieć podstawę w akcie rangi ustawy.

Rekomendacje S, W i T Komisji Nadzoru Finansowego nie tylko nie mają rangi aktu ustawowego, lecz w ogóle nie należą do źródeł powszechnie obowiązującego prawa w Rzeczypospolitej Polskiej, nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto, wydaje je organ, który nie ma stosownego umocowania konstytucyjnego. Należy też przyjąć, że z zakresu pojęcia obowiązku, o jakim mowa art. 6 ust. 1 lit. c RODO, należy wykluczyć, ze względu na ich ogólny i optymalizacyjny charakter, obowiązki wynikające wyłącznie z norm-zasad, a zatem nieskonkretyzowane w normach-regułach. Tylko bowiem wówczas zapewniony jest najwyższy standard ochrony danych osobowych, jaka jest emanacją prawa do prywatności. Tym bardziej obowiązki osłabiające ochronę prawną danych osobowych nie mogą znajdować źródła wyłącznie w czynnościach prawnych podejmowanych w ramach swobody kontraktowania.

Trzeba też zauważyć, że cel przetwarzania danych określony w art. 105a ust. 1 Prawa bankowego w formie koniunkcji jako "ocena zdolności kredytowej i analizy ryzyka kredytowego" nie daje podstaw do przyjęcia, że celem tym jest wyłącznie ocena analizy ryzyka kredytowego w oderwaniu od oceny zdolności kredytowej. Jeśli zatem został zrealizowany cel, jakim jest ocena zdolności kredytowej, to brak podstaw do przyjmowania, że cel przetwarzania danych istnieje nadal ze względu na ocenę analizy ryzyka kredytowego (por. powołany wyżej wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23).

Niezasadne są argumenty skarżących kasacyjnie dotyczące naruszenia art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy AML oraz przepisami rozporządzenia CRR. Przedmiotem oceny organu, a następnie Sądu I instancji była zgodność z prawem przetwarzania danych osobowych w świetle uprawnień przyznanych skarżącym kasacyjnie przez ustawę – Prawo bankowe, a nie sposobu funkcjonowania mechanizmów kredytowych i ustalenia, jakie dane są potrzebne Bankowi i BIK dla zapewnienia prawidłowego działania tych mechanizmów. Również odwoływanie się do konieczności przetwarzania danych osobowych wnioskodawcy w zakresie pytań kredytowych po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych jest nieuprawnione. Wnioskodawca po złożeniu zapytań kredytowych nie zawarł umowy kredytowej z Bankiem, a tym samym nie spłacał zaciągniętego kredytu, zatem jego dane zawarte w zapytaniu kredytowym (określające profil klienta) są nieprzydatne do tworzenia modeli scoringowych.

Ponadto, przedmiotem niniejszej sprawy i kompetencji Prezesa UODO nie jest ustalenie możliwego sposobu realizacji przez Bank obowiązków nakładanych na te podmioty przez instytucje nadzorcze w zakresie prowadzonej działalności. Instrumenty służące dokonaniu oceny ryzyka kredytowego przez banki muszą być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów przy uwzględnieniu generalnych zasad przetwarzania danych osobowych (art. 5 ust. 1 i ust. 2 RODO). Z kolei uprawnienia do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego nie mają odniesienia do rozpoznawanej sprawy, gdy nie zawarto umowy kredytowej i nie można mówić o transakcji.

Zgodnie z art. 6 ust. 1 lit. f RODO, przetwarzanie danych osobowych zgodnie z prawem jest dopuszczalne, gdy "przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem". Wbrew zatem twierdzeniom zawartym w skargach kasacyjnych powołany przepis nie może stanowić podstawy przetwarzania danych osobowych "na zapas", w celu zabezpieczenia się przed ewentualnym (przyszłym i niepewnym) roszczeniem, zgłaszanym ewentualnie w przyszłości. Nie jest możliwa akceptacja takiej interpretacji przywołanego przepisu, która legalizowałaby przetwarzanie danych osobowych wyłącznie z uwagi na hipotetyczną i domniemaną konieczność ustalenia, dochodzenia lub obrony roszczeń.

Zgromadzony w niniejszym postępowaniu materiał dowodowy nie wykazał natomiast, aby uczestnik postępowania wystąpił z jakimkolwiek roszczeniem wobec skarżących kasacyjnie, a zatem w sprawie słusznie stwierdzono brak podstawy legalizującej przetwarzanie danych osobowych uczestnika postępowania. Podstawa do przetwarzania danych osobowych uczestnika wynikająca z art. 105a ust. 1 i art. 70 ust. 1 ustawy Prawo bankowe odpadła, skoro cel tego przetwarzania (ocena zdolności kredytowej i analiza ryzyka kredytowego) został osiągnięty, a do nawiązania stosunku zobowiązaniowego (udzielenia kredytu nie doszło). Nie ma też podstaw do przyjęcia ogólnego założenia, że dane osobowe mogą być przetwarzane do czasu przedawnienia hipotetycznych roszczeń (por. powołane wyżej wyroki NSA z dnia 15 maja 2026 r., III OSK 2636/23; z dnia 27 marca 2026 r., III OSK 753/23).

"Przyjęcie prezentowanego w skargach kasacyjnych stanowiska prowadziłoby do tego, że sytuacja osoby fizycznej, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej byłaby gorsza z punktu widzenia ochrony danych osobowych przewidzianych w RODO i odczytywanych łącznie z ww. przepisami u.P.b., niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, po wygaśnięciu zobowiązania wynikającego z danej umowy, do dalszego przetwarzania danych niezbędna byłaby zgoda osoby, której dane dotyczą, odwołalna w każdym czasie. Podmiot, który zażądał usunięcia swoich danych osobowych, byłby pozbawiony ochrony, choć przetwarzano jego dane w celu, który nie jest ściśle związany z konkretną czynnością, w związku z którą uzyskano i przetwarzano dane. Zdaniem Naczelnego Sądu Administracyjnego chcąc realizować obowiązki nałożone przez instytucje nadzorcze w zakresie prowadzonej działalności, a jednocześnie chcąc przetwarzać dane osobowe konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych (dane osoby, która w związku z zapytaniem kredytowym stanowiącym podstawę do zebrania i przetwarzania danych, nie uzyskała kredytu) należy przestrzegać przepisów RODO w zakresie »dalszego« przetwarzania, które nie wiąże się z oceną zdolności kredytowej i analizą ryzyka.

Naczelny Sąd Administracyjny podziela bowiem prezentowane w orzecznictwie poglądy, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia tej umowy, pozostawałoby w oderwaniu od celu, dla którego uzyskano i przetwarzano dane osobowe osoby fizycznej. Tym samym niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie" (powołany wyżej wyrok z dnia 27 marca 2026 r., III OSK 753/23).

Z tych przyczyn Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., oddalił skargi kasacyjne jako pozbawione usprawiedliwionych podstaw.