Wyrok Naczelnego Sądu Administracyjnegoz 17 lipca 2026 r., sygn. akt III OSK 3176/23

Uzasadnienie

K. J. pismem z 2 września 2021 r. złożyła do Prezesa Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez B. S.A. z siedzibą w W. Wskazała, że Bank przetwarza bez podstawy prawnej jej dane osobowe wynikające z zapytań kredytowych z: 12 października 2020 r., 2 stycznia 2021 r., 15 marca 2021 r., 15 kwietnia 2021 r. oraz 15 czerwca 2021 r., które nie zakończyły się udzieleniem kredytu. Ponadto podała, że Bank przekazał te dane do Biura Informacji Kredytowej S.A. z siedzibą w Warszawie, który również przetwarza je bez podstawy prawnej.

Prezes Urzędu Ochrony Danych Osobowych decyzją z 9 sierpnia 2022 r. nr DS.523.5639.2021.FT.UD, na podstawie art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 6 ust. 1 i art. 58 ust. 2 lit. c RODO:

1. 1) nakazał B. S.A. z siedzibą w W. usunięcie danych osobowych K. J. wynikających z zapytań kredytowych z: 12 października 2020 r., 2 stycznia 2021 r., 15 marca 2021 r., 15 kwietnia 2021 r. oraz 15 czerwca 2021 r., niezakończonych udzieleniem kredytu;
2. 2) nakazał Biuru Informacji Kredytowej S.A. z siedzibą w Warszawie usunięcie danych osobowych K. J., wynikających z zapytań kredytowych z: 12 października 2020 r., 2 stycznia 2021 r., 15 marca 2021 r., 15 kwietnia 2021 r. oraz 15 czerwca 2021 r., przekazanych przez B. S.A. z siedzibą w W.;
3. 3) umorzył postępowanie w pozostałym zakresie.

Zdaniem organu Bank oraz BIK, na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, były uprawnione do przetwarzania danych osobowych uczestniczki postępowania w celu oceny zdolności kredytowej w związku z jej zapytaniami kredytowymi. Ponieważ nie doszło do zawarcia umowy kredytu odpadła przesłanka legalizująca dalsze przetwarzanie jej danych osobowych przez Bank oraz BIK. W ocenie organu, za podstawę przetwarzania danych osobowych nie mogą być również uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli. Organ nie podzielił stanowiska Banku oraz BIK, że przetwarzanie danych osobowych strony ma na celu przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach AML. W toku prowadzonego postępowania Bank i BIK nie wykazały, aby istniały uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazały także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Niezasadnie Bank powołał się również na art. 46 AML, gdyż nie wykazał, że uczestniczka postępowania jest osobą zajmującą eksponowane stanowisko polityczne.

Zebrany materiał dowodowy nie wykazał, aby skarżąca wystąpiła z jakimkolwiek roszczeniem wobec Banku czy BIK-u, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez uczestniczkę tego roszczenia (art. 6 ust. 1 lit. f RODO). Bank i BIK nie wskazały także na istnienie roszczeń, których dochodzą od skarżącej.

Z powyższego wynika, zdaniem organ, że w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych uczestniczki zawartych w zapytaniach kredytowych, zarówno przez Bank, jak i przez BIK - administratorów danych.

Uzasadniając rozstrzygnięcie zawarte w pkt 3 decyzji organ podał, że ze zgromadzonego w sprawie materiału dowodowego, w szczególności wyjaśnień złożonych przez Bank, wynika, że pismem z 30 sierpnia 2021 r. poinformował K. J. o wycofaniu wszelkich zgód marketingowych. Powyższe zostało dokonane przed złożeniem skargi inicjującej niniejsze postępowanie. W konsekwencji, w zakresie przetwarzania danych osobowych K. J. w celach marketingowych, zaistniała przesłanka bezprzedmiotowości postępowania, o której mowa w art. 105 § 1 k.p.a., uzasadniająca jego umorzenie w tym zakresie.

B. S.A. z siedzibą w W. oraz Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie zaskarżyły dwiema skargami do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzję Prezesa Urzędu Ochrony Danych Osobowych z 9 sierpnia 2022 r.

B. S.A. z siedzibą w W. zaskarżył tę decyzję w zakresie pkt 1, a więc rozstrzygnięcie o zobowiązaniu Banku do usunięcia danych osobowych K. J. wynikających z zapytań kredytowych z: 12 października 2020 r, 2 stycznia 2021 r, 15 marca 2021 r., 15 kwietnia 2021 r oraz 15 czerwca 2021 r., niezakończonych udzieleniem kredytu.

Natomiast Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie wniosło skargę na tę decyzję w zakresie pkt 2, tj. nakazania Biuru Informacji Kredytowej S.A. usunięcia danych osobowych K. J. wynikających z powołanych zapytań kredytowych.

B. S.A. z siedzibą w W. oraz Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie wniosły o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.

Prezes Urzędu Ochrony Danych Osobowych w odpowiedziach na skargi wniósł o ich oddalenie, podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji.

Pełnomocnik B. S.A. z siedzibą w W. w piśmie procesowym z 14 lipca 2023 r. oraz pełnomocnik Biura Informacji Kredytowej S.A. z siedzibą w Warszawie w piśmie procesowym z 18 kwietnia 2023 r., stanowiących repliki na odpowiedź na skargę, podtrzymali w całości skargi i prezentowane w nich stanowisko.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 2 sierpnia 2023 r. sygn. akt II SA/Wa 1857/22 oddalił skargi B. S.A w W. oraz Biura Informacji Kredytowej S.A. w Warszawie. W uzasadnieniu wyroku Sąd wskazał, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wymienionych w art. 6 ust. 1 RODO. Zarówno Bank, jak i BIK, były uprawnione do przetwarzania danych osobowych uczestniczki na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, a więc w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Sąd podzielił zapatrywanie organu, że skoro nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestniczki postępowania. Wbrew zarzutom obu skarg, art. 105a Prawa bankowego, w tym powołany w skargach art. 105a ust. 1, 1a, 1b, 1c Prawa bankowego, który określa warunki dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, nie daje podstaw do dalszego przetwarzania danych uczestniczki po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Na podstawie powołanych przepisów Bank a także BIK nie ma uprawnienia do dalszego przetwarzania tych danych, albowiem umowy nie zawarto i nie wykazano przesłanki legalizującej to działanie. Powołane przepisy art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania.

Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie przez Bank oraz BIK danych osobowych potencjalnego klienta. Prezentowana przez Bank wykładnia art. 105a ust. 1 Prawa bankowego prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego pomimo, że nie zawarto umowy o kredyt. W przypadku zaś, gdyby doszło do zawarcia umowy banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust 5 Prawa bankowego. Skoro ustawodawca w art. 105a ust. 1 ustawy Prawo bankowe nie zakreślił okresu, przez jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony.

Za niezasadny Sąd Wojewódzki uznał zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1 c w zw. z art. 105 ust. 4 Prawa bankowego. Przepis art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego, a jedynie stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych, a w konsekwencji nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Dlatego przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem.

W ocenie Sądu, na uwzględnienie nie zasługiwał zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit. f RODO w związku z przytoczonymi w skardze przepisami k.c. i w nawiązaniu do wskazywanej przez Bank potrzeby przechowywania danych (zawartych w zapytaniach kredytowych) osoby, z którą nie zawarto umowy kredytowej w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego. Z akt sprawy nie wynika, aby uczestniczka postępowania, która zażądała usunięcia danych w zakresie zapytań kredytowych, miała jakiekolwiek roszczenia na drodze cywilnoprawnej do Banku lub BIK. Z akt sprawy i wyjaśnień Banku nie wynika, aby wymieniona posiadała w Banku zobowiązania (w tym także kredytowe), czy była posiadaczem rachunku osobistego lub innych produktów bankowych.

Niezasadne są też zarzuty Banku dotyczące naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 106d Prawa bankowego, jak i w zw. z przepisami AML (art. 33 ust. 1 - 3, art. 34 ust. 36, 46, 49). Bank nie wskazał, jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Ogólne twierdzenia Banku o celu w postaci zapewnienia bezpieczeństwa obrotu gospodarczego nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych uczestniczki postępowania.

Za niezasadny Sąd uznał zarzut naruszenia art. 6 ust. 1 lit c RODO w zw. z art. 70a Prawa bankowego. Powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a uczestniczka niniejszego postępowania po kolejnej odmownej decyzji kredytowej, wniosła o usunięcie swoich danych.

Nie jest również trafny zarzut dotyczący naruszenia przez organ art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego. Powoływane Rekomendacje Komisji Nadzoru Finansowego nie są źródłem prawa powszechnie obowiązującego. Nie ma podstaw, aby w stanie faktycznym sprawy wywodzić z Rekomendacji KNF - wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku (i BIK), o których jest mowa w art. 6 ust. 1 lit. f RODO.

Ustosunkowując się do zarzutów skargi BIK Sąd uznał, że nie zasługiwał na uwzględnienie zarzut dotyczący naruszenia art. 6 ust. 1 lit c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 Prawa bankowego. Żaden z przepisów z wymienionych przez BIK w skardze odnośnie tego zarzutu, tj. art. 70a, art. 105 ust. 4 pkt. 1 i 2, art. 105a, art. 105 ust. 4 pkt. 1 i 2 Prawa bankowego, nie stanowi o przetwarzaniu danych osobowych wnioskującej o udzielenie kredytu przez okres 12 miesięcy.

Zdaniem Sądu, analizowane przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez BIK danych osobowych osoby ubiegającej się o kredyt w sytuacji, w której nie doszło do zawarcia umowy.

Odnośnie kwestii zabezpieczenia roszczeń i rekomendacji W, S i T Komisji Nadzoru Finansowego Sąd podtrzymał pogląd wyrażony w tej kwestii względem zarzutów Banku.

Także powoływana potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym sprawy podstawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów BIK.

W ocenie Sądu Wojewódzkiego, organ zasadnie nakazał w punkcie 1 decyzji BIK, a w punkcie 2 decyzji Bankowi usunięcie danych osobowych K. J. zawartych w zapytaniach kredytowych.

Od opisanego wyroku B. S.A. w W. wniósł skargę kasacyjną. Na podstawie art. 173 § 1 oraz § 2 w zw. z art. 176 § 1 pkt 1 oraz art. 177 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi, dalej określanej jako "p.p.s.a", zaskarżył wyrok w części oddalającej skargę B. S.A. Na podstawie art. 174 pkt 2 p.p.s.a. zaskarżonemu wyrokowi zarzucił naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.:

1. a) art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 w zw. z art. 8 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych z 10 maja 2018 r. r., poprzez niezasadne oddalenie skargi, w sytuacji, gdy zaskarżona decyzja została wydana z naruszeniem ww. przepisów postępowania, co przejawiało się w zaniechaniu dokładnego wyjaśnienia stanu faktycznego sprawy i braku wyczerpującego zebrania i rozpatrzenia materiału dowodowego oraz oceny jego całokształtu, jak również braku prowadzenia postępowania w sposób budzący zaufanie strony do organów władzy publicznej, co skutkowało błędnym uznaniem, że w dacie wydania decyzji Bank nie był uprawniony do przetwarzania danych osobowych K. J., a tym samym oddalenie skargi było bezzasadne;
2. b) art. 151 p.p.s.a. w zw. art. 7b k.p.a. w zw. z art. 7 k.p.a., poprzez niezasadne oddalenie skargi, w sytuacji, gdy zaskarżona decyzja została wydana z naruszeniem ww. przepisów postępowania, co przejawiało się w zaniechaniu zwrócenia się do Komisji Nadzoru Finansowego, jako organu sprawującego nadzór nad sektorem bankowym i mającego wpływ na określanie aktualnego zakresu obowiązków regulacyjnych wiążących podmioty działające w tym sektorze, podczas gdy prawidłowym było, aby przy badaniu celów przetwarzania danych przez Bank (i BIK), organ zwrócił się do KNF o wyjaśnienia w zakresie takich obowiązków regulacyjnych, czego jednak nie uczynił, co skutkowało błędnym uznaniem, że w dacie wydania decyzji Bank nie był uprawniony do przetwarzania danych osobowych K. J., a tym samym oddalenie skargi było bezzasadne;
3. c) art. 134 § 1 p.p.s.a. w zw. art. 141 § 4 p.p.s.a. poprzez nierozpoznanie zarzutów podniesionych w skardze oraz zaniechanie odniesienia się do takich zarzutów w uzasadnieniu skargi przy jednoczesnym braku należytego wskazania i wyjaśnienia w uzasadnieniu wyroku podstawy faktycznej i prawnej rozstrzygnięcia, co uniemożliwia zrozumienie treści i podstaw rozstrzygnięcia, a także odniesienie się do ustaleń i twierdzeń Sądu mających istotny wpływ na kierunek oraz treść wydanego i skarżonego orzeczenia.

Na podstawie art. 174 pkt 1 p.p.s.a. zaskarżonemu wyrokowi Bank zarzucił naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.:

1. a) art. 6 ust. 1 lit. c RODO w zw. z art. 105a ust 1 - 1c ustawy z dnia 29 sierpnia 1997 r. Prawo Bankowe w zw. z art. 70 ust. 1 tej ustawy polegające na ich niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z ww. przepisów, podczas gdy powyższe przepisy nakładają na banki zarówno obowiązek dokonania oceny zdolności kredytowej jak i przetwarzania danych osobowych klientów w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; zarzut należy rozpatrywać też w kontekście części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz 3/25 zmieniające rozporządzenie (UE) nr 648/2012 (dalej: "CRR"), które nakładają na skarżącego obowiązki oceny ogólnej ekspozycji oraz ekspozycji Banku i tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych i aktualnych informacji, a ponadto skarżący obowiązany jest do zachowania spójności modelu, a usunięcie danych w trakcie okresu ich przetwarzania na podstawie przepisów CRR prowadziłoby do naruszenia tego obowiązku;
2. b) art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1-2 Prawa bankowego polegające na ich niezastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych osobowych, podczas gdy Bank jest zobligowany do wyjaśniania decyzji kredytowych (wyjaśnienia dokonanej przez siebie oceny zdolności kredytowej klienta) obejmujące czynniki, w tym dane osobowe klienta, które miały wpływ na dokonaną ocenę zdolności kredytowej;
3. c) art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21 art. 118 i 119 k.c. poprzez niewłaściwe zastosowanie i przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń, w sytuacji w której administrator danych osobowych ani osoba, której dane dotyczą nie wniosła pozwu do właściwego sądu, ale nie upłynął jeszcze okres przedawnienia roszczeń, nie mieści się w ramach prawnie uzasadnionego interesu skarżącego w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te umożliwiają wykazanie istnienia tego rodzaju prawnie uzasadnionego interesu w ustaleniu, dochodzeniu i ochronie przed roszczeniami i tym samym istnienie ważnej podstawy prawnej do przetwarzania danych osobowych;
4. d) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 Prawa bankowego polegające na jego niezastosowaniu i przyjęciu, że skarżący nie legitymizuje się podstawą prawną do przetwarzania danych osobowych, podczas gdy przepisy nakładają na skarżącego obowiązek przetwarzania danych osobowych i udostępniania ich BIK w zakresie wykonywania czynności bankowych niezależnie od ostatecznego zaistnienia stosunku umownego pomiędzy kredytobiorcą a bankiem;
5. e) art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W oraz T Komisji Nadzoru Finansowego polegające na jego niezastosowaniu i nieuwzględnieniu okoliczności, że Bank legitymuje się przesłanką przetwarzania danych osobowych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W oraz T Komisji Nadzoru Finansowego, podczas gdy ww. Rekomendacje nakładają na banki określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa;
6. f) art. 6 ust. 1 lit. c RODO w zw. z art. 106d ust. 1 pkt 3 Prawa bankowego w zw. z art. 33 ust. 1 - 3, art. 34 ust. 3, art. 36, art. 46, art. 49 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu - "AML", tj. w zakresie obowiązku stosowania środków bezpieczeństwa finansowego, gromadzenia i przekazywania odpowiednim instytucjom informacji przewidzianych przez ustawę lub blokowania określonych transakcji poprzez ich błędne zastosowanie i uznanie, że Bank nie wykazał, aby mógł w tym celu przetwarzać dane osobowe, mimo że obowiązki wskazane w AML, w tym przechowywanie kopii dokumentów i informacji, należy każdorazowo spełnić w celu wypełnienia obowiązku prawnego nałożonego przez ustawodawcę na banki, zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowej analizy na temat klientów, przyszłych klientów oraz powiązań kapitałowo-osobowych w tym w zakresie danych dostarczanych przez wnioskodawców;
7. g) art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 RODO poprzez niewłaściwe zastosowanie i przyjęcie, że Bank naruszył przepisy ustawy i RODO i zasadne było wydanie decyzji nakazującej usunięcie danych osobowych przez organ, podczas gdy Bank nie dopuścił się naruszenia przepisów o ochronie danych osobowych, przez co treść wyroku była nieprawidłowa.

Na podstawie art. 185 § 1 p.p.s.a. Bank wniósł o uchylenie zaskarżonego wyroku w części dotyczącej oddalenia skargi Banku i przekazanie sprawy do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny w Warszawie; o rozpoznanie sprawy na rozprawie i na podstawie art. 203 pkt 1 p.p.s.a. o zasądzenie od organu na rzecz skarżącego zwrotu kosztów postępowania kasacyjnego, w tym kosztów zastępstwa procesowego według norm przepisanych.

Skargę kasacyjną złożyło również Biuro Informacji Kredytowej S.A. zaskarżając wyrok Sądu pierwszej instancji w części oddalającej skargę Biura Informacji Kredytowej S.A. Na podstawie art. 174 pkt 2 p.p.s.a. Biuro Informacji Kredytowej S.A. zarzuciło naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.:

1. 1) art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7 w zw. z art. 77 § 1 w zw. z art. 80 k.p.a. w zw. z art. 7 ustawy z 10 maja 2018 r. o ochronie danych osobowych (dalej określanej też jako "UODO"), poprzez uznanie przez WSA, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy organ ten:
2. - zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane BIK oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącego do przetwarzania danych osobowych;
3. - zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania danych osobowych uczestniczki w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące BIK do przetwarzania danych osobowych uczestniczki;
4. - nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji BIK jako, instytucji, gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie uczestniczki, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez BIK danych osobowych uczestniczki w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące BIK do przetwarzania danych osobowych uczestniczki;
5. - nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo iż przepisy prawa upoważniają BIK do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących BIK do przetwarzania danych osobowych, co w konsekwencji doprowadziło do oddalenia skargi przez WSA w skutek błędnego przyjęcia przez WSA braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji do przetwarzania danych osobowych uczestniczki;
6. 2) art. 145 §1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 UODO poprzez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez organ stosownych czynności, w tym zasadnie zaniechał zwrócenia się do Komisji Nadzoru Finansowego, podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych: osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności, dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego organ wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny;

Zaskarżonemu wyrokowi, na podstawie art. 174 pkt 1 p.p.s.a., BIK zarzucił także naruszenie przepisów prawa materialnego, tj.:

1. 1) art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego poprzez ich niewłaściwe zastosowanie przejawiające się w przyjęciu, że w sytuacji, gdy nie doszło pomiędzy uczestniczką a Bankiem do zawarcia umowy kredytowej BIK nie jest uprawniony do przetwarzania danych osobowych uczestniczki, a w konsekwencji przyjęcie, że BIK nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu w przypadku nie zawarcia umowy kredytowej, podczas gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;
2. 2) art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na BIK obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że BIK nie posiada podstawy prawnej do przetwarzania danych uczestniczki w sytuacji nie zawarcia umowy o kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego;
3. 3) art. 6 ust. 1 lit. e) RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych uczestniczki w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym;
4. 4) art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej uczestniczki niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to BIK zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej;
5. 5) art. 6 ust. 1 lit. f) RODO poprzez niewłaściwe zastosowanie poprzez przyjęcie, że wskutek braku zawarcia umowy kredytowej BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestniczki, podczas gdy istnieje prawnie uzasadniony interes w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym;
6. 6) art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych uczestniczki, podczas gdy posiada taką podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych.

Wobec powyższych zarzutów BIK wniósł o uchylenie wyroku w zaskarżonej części i przekazanie sprawy do ponownego rozpoznania, zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych, a także rozpoznanie skargi kasacyjnej na rozprawie.

Zarzuty obu skarg kasacyjnych znalazły rozwinięcie w ich uzasadnieniu.

W odpowiedziach na skargi kasacyjne organ wniósł o ich oddalenie, podtrzymując dotychczasowe stanowisko w sprawie, jednocześnie odnosząc się do poszczególnych zarzutów kasacyjnych.

W ramach repliki na odpowiedź organu na skargę kasacyjną B. S.A. ponownie przedstawił swoje stanowisko w sprawie dodatkowo wnosząc o wystąpienie przez Naczelny Sąd Administracyjny z pytaniami prejudycjalnymi do Trybunału Sprawiedliwości Unii Europejskiej, na podstawie art. 267 Traktatu o funkcjonowaniu Unii Europejskiej (dalej: "TFUE"), gdyż dokonanie prawidłowej i wiążącej wykładni przepisów prawa materialnego Unii Europejskiej jest niezbędne do wydania rozstrzygnięcia w sprawie wywołanej wnioskiem:

"1. Czy art. 6 ust. 1 lit. c) w związku z motywem 123 Rozporządzenia Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U. 2016, L.119, s. 1; sprostowanie Dz.U. 2018, L 127, s. 2). (dalej także: "RODO", "Rozporządzenie") należy rozumieć w ten sposób, że: krajowy organ ochrony danych osobowych taki jak Prezes Urzędu Ochrony Danych Osobowych (dalej także: "PUODO ") nie może samodzielnie dokonywać wykładni prawnej dotyczącej obowiązków prawnych ciążących na administratorze danych osobowych w sytuacji, gdy kwestia ta jest już rozstrzygnięta przez inny organ nadzoru właściwy ze względu na te obowiązki, w szczególności zaś, że nie może samodzielnie dokonywać takiej wykładni prawnej, która byłaby wprost sprzeczna z wykładnią i nałożonymi obowiązkami przez inny krajowy organ sprawujący nadzór nad rynkiem regulowanym?"

"2. Czy art. 51 w związku z motywem 123 RODO należy rozumieć w ten sposób, że: krajowy organ ochrony danych osobowych taki jak Prezes Urzędu Ochrony Danych Osobowych nie może samodzielnie dokonywać wykładni przepisów innych aktów prawnych niż dotyczących ochrony danych osobowych w sposób sprzeczny z wytycznymi organu nadzorującego rynek regulowany właściwego dla tych aktów prawnych, w szczególności w sytuacji, gdy taka odmienna wykładnia prowadziłaby do nałożenia na podmioty działające na takim rynku regulowanym dwóch wykluczających się i wzajemnie sprzecznych obowiązków?"

"3. Czy art. 6 ust. 1 lit. f) w związku z motywem 47 RODO należy rozumieć w ten sposób, że: w przypadku przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f) RODO, tj. kiedy "przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią" dopuszczalny okres retencji przetwarzania danych osobowych jest zbieżny z terminem przedawnienia roszczeń będących przyczyną przetwarzania tych danych osobowych? A w przypadku udzielenia odpowiedzi twierdzącej: Czy taką wykładnię należy stosować także w sytuacji, gdy bank ostatecznie nie zawarł z potencjalnym klientem umowy kredytowej i przetwarza dane osobowe w ramach obrony przed niepodniesionym, choć potencjalnie już istniejącym w danym momencie roszczeniem?"

Bank wniósł również o zwrócenie się przez Naczelny Sąd Administracyjny do Trybunału Sprawiedliwości Unii Europejskiej o zastosowanie trybu przyspieszonego z uwagi na pilną potrzebę dokonania wykładni przepisów prawa Unii Europejskiej, która budzi wątpliwości i rozbieżności w orzecznictwie krajowym;

Ponadto, B. S.A. zwrócił się o rozważenie przez Naczelny Sąd Administracyjny przekazania niniejszej sprawy powiększonemu składowi sądu. Zdaniem strony, dotychczasowe orzecznictwo związane z problematyką, której dotyczy niniejsze postępowanie, jest niejednolite i może zwiększać poczucie niepewności prawnej podmiotów uczestniczących w obrocie prawnym w Rzeczypospolitej Polskiej. Zasadne jest więc podjęcie przez Naczelny Sąd Administracyjny na podstawie art. 15 § 1 ust. 3 ustawy Prawo o postępowaniu przed sądami administracyjnymi uchwały mającej na celu wyjaśnienie przepisów prawnych, których stosowanie wywołało rozbieżności w orzecznictwie sądów administracyjnych.

Naczelny Sąd Administracyjny zważył, co następuje

Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2026 r. poz. 143 ze zm.; dalej "p.p.s.a."), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu przy rozpoznaniu sprawy Naczelny Sąd Administracyjny związany był granicami skarg kasacyjnych.

Podniesione w skargach kasacyjnych kwestie były już przedmiotem rozważań Naczelnego Sądu Administracyjnego, m.in. w wyroku z 19 czerwca 2026 r. sygn. akt III OSK 2078/23, którego argumentację skład orzekający Naczelnego Sądu Administracyjnego w rozpoznawanej sprawie w pełni akceptuje.

Ustosunkowując się do skargi kasacyjnej Biura Informacji Kredytowej S.A. Naczelny Sąd Administracyjny stwierdził, że zarzuty wskazane jako naruszenie przepisów art. 7 w zw. z art. 77 § 1 w zw. z art. 80 oraz art. 7b k.p.a. w zw. z art. 7 UODO nie znajdują usprawiedliwienia w okolicznościach sprawy. Sąd Wojewódzki trafnie uznał, że zebrany materiał dowodowy był wystarczający dla rozstrzygnięcia sprawy, a Prezes Urzędu Ochrony Danych Osobowych dokonał pełnej i właściwej jego oceny w odniesieniu do przesłanek zgodności przetwarzania danych osobowych z prawem, o których mowa w art. 6 RODO, nawiązując także do tych przepisów prawa, które powoływało BIK w swoich wyjaśnieniach.

Nie można zgodzić się ze skarżącym kasacyjnie, że organ nie przeanalizował dostatecznie charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane Biuro Informacji Kredytowej S.A. Z zaskarżonej decyzji wynika, że organ uwzględnił w swoich rozważaniach cel działalności i charakter Biura Informacji Kredytowej utworzonego na podstawie art. 105 ust. 4 Prawa bankowego. Należy zaznaczyć, że istotnym i podstawowym ustaleniem stanu faktycznego było to, że z klientką Banku nie doszło do zawarcia umowy. Natomiast odrębną kwestią jest analiza podstaw prawnych pozostawania danych uczestniczki postępowania w Biurze Informacji Kredytowej w sytuacji, gdy nie doszło do zawarcia umowy kredytu. Ten ostatni aspekt nie stanowi jednak elementu ustalania stanu faktycznego sprawy.

Zasadnym jest zwrócenie uwagi, że w postępowaniu administracyjnym, którego przedmiotem jest sprawa zgodności z prawem przetwarzania danych osobowych badaniu podlegało to, czy administrator przetwarza dane osobowe w sposób prawidłowy i zgodny z przepisami o ochronie danych osobowych. Reguły przetwarzania danych osobowych zostały ujęte w art. 5 ust. 1 i 2 RODO. Według art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Oznacza to, że m.in. BIK, jak i Bank, jako administratorzy danych osobowych wnioskodawcy żądającego ich usunięcia, zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) były zobowiązane do wykazania przed organem nadzoru, że dane osobowe przetwarzane są zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 pkt a) oraz, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez nie celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO).

Wbrew twierdzeniom skarżącego kasacyjnie, organ nadzoru właściwie oparł się na wyjaśnieniach administratora danych i rzetelnie je ocenił. Nie był przy tym zobowiązany do "poszukiwania" za przetwarzającego dane administratora podstaw i przesłanek dalszego przetwarzania danych osobowych uczestniczki, poza tymi, które wykazały w swoich wyjaśnienia BIK i Bank. Ostatecznie organ nie uznał powołanych przez strony podstaw za wystarczające do uznania, że przetwarzanie danych osobowych uczestniczki, w stanie faktycznym sprawy, odbywa się zgodnie prawem.

Odnosząc się do zarzutu naruszenia art. 7b k.p.a. należy wskazać, że organ prawidłowo wyjaśnił, że zwrócenie się do Komisji Nadzoru Finansowego nie przyczyniłoby się do szybszego załatwienia sprawy, gdyż sprawa nie ma charakteru skomplikowanego. Dodatkowo podkreślił, co słusznie zaakceptował Sąd Wojewódzki, że to Prezes UODO, a nie Komisja Nadzoru Finansowego, jest organem administracyjnym oceniającym prawidłowość stosowania przepisów o ochronie danych osobowych przez administratorów danych. Uzyskanie stanowiska Komisji Nadzoru Finansowego w tym zakresie nie było niezbędne oraz nie byłoby dla organu wiążące. Zgodzić należy się z Sądem Wojewódzkim, że Prezes UODO jest wyspecjalizowanym i niezależnym organem w sprawach ochrony danych osobowych, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Zadania i uprawnienia organu nadzoru regulują przepisy art. 57 i art. 58 RODO.

Jak wynika z ich treści, na podstawie art. 58 ust. 2 lit. c RODO, Prezesowi UODO przysługuje samodzielne i odrębne uprawnienie naprawcze w postaci nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy tego rozporządzenia. Stanowisko o niezależności organu znajduje potwierdzenie również w art. 51 RODO oraz w pkt 117 preambuły RODO, w którym wskazano, że zasadniczym elementem ochrony osób fizycznych w związku z przetwarzaniem danych osobowych jest utworzenie w państwach członkowskich organów nadzorczych, uprawnionych do wypełniania zadań i wykonywania uprawnień w sposób całkowicie niezależny. Niewątpliwie na tle uregulowań RODO, Prezes UODO w zakresie przypisanych mu kompetencji jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa stosowanych w postępowaniu w zakresie dotyczącym ochrony danych osobowych.

Wobec powyższego za uprawnione należało uznać stanowisko Sądu Wojewódzkiego, że Prezes UODO w tego rodzaju sprawie nie miał obowiązku zwracania się do Komisji Nadzoru Finansowego, ani w zakresie dokonywanych ustaleń stanu faktycznego, ani w zakresie wyjaśnień stanu prawnego, na zasadzie art. 7b k.p.a. W tym stanie rzeczy nie można było organowi skutecznie zarzucić naruszenia art. 7b k.p.a.

Wbrew zarzutowi skarżącego kasacyjnie, organ nie uchybił regułom postępowania poprzez zaniechanie oceny Rekomendacji Komisji Nadzoru Finansowego. Trafne jest stanowisko organu oraz Sądu, że powoływane Rekomendacje należą do nienormatywnych form działania administracji i nie były wiążące dla organu nadzoru. Rekomendacje nie są źródłem powszechnie obowiązujących przepisów prawa. Naczelny Sąd Administracyjny dostrzega, że skarżący kasacyjnie powołuje Rekomendacje jako regulacje bezwzględnie go obowiązujące, nakładające m.in. egzekwowalny przez Komisję wymóg gromadzenia danych w celach budowania modeli scoringowych, niezbędnych dla oceny zdolności kredytowej oraz ryzyka kredytowego oraz stabilności i bezpieczeństwa sektora bankowego. Jednakże elementy te nie są wartościami nadrzędnymi wobec prawa osoby fizycznej do ochrony danych osobowych. Prawo do ochrony danych osobowych jest prawem gwarantowanym w unijnym porządku prawnym (RODO) oraz w prawie krajowym, znajdującym oparcie również w art. 51 Konstytucji RP.

Dodatkowo Naczelny Sąd Administracyjny stwierdził, że wnoszący skargę kasacyjną nie wykazał, zgodnie z art. 174 pkt 2 p.p.s.a., w jaki sposób zarzucane uchybienia przepisom postępowania mogły mieć istotny wpływ na wynik sprawy. Dla wypełnienia tego obowiązku nie jest wystarczające zawarcie w skardze kasacyjnej formuły o naruszeniu przepisów postępowania mającym wpływ na wynik sprawy. Dla skuteczności tego rodzaju zarzutów konieczne jest uzasadnienie wpływu zarzucanego naruszenia na wynik sprawy.

Przechodząc do zarzutów naruszenia prawa materialnego należy podkreślić, że ich istota sprowadza się do kwestionowania stanowiska Sądu o braku podstaw prawnych do przetwarzania przez Biuro Informacji Kredytowej danych osobowych uczestniczki w zakresie wynikającym z zapytania kredytowego, niezakończonego zawarciem umowy kredytowej z instytucją upoważnioną do udzielania kredytów.

Celowym jest przypomnienie, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, który określa ogólne materialne przesłanki przetwarzania danych osobowych. Zgodnie z tą regulacją, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:

1. a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
2. b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy;
3. c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
4. d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej;
5. e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
6. f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem.

Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Wymienione przesłanki mają charakter generalny i odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one, co do zasady, równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione.

Zdaniem Naczelnego Sądu Administracyjnego, trafne stanowisko zajął Sąd Wojewódzki, że w okolicznościach faktycznych sprawy nie wystąpiła żadna z przesłanek umożliwiająca uznanie za legalne dalsze przetwarzanie przez BIK danych osobowych uczestniczki, a na które powołuje się BIK wskazując art. 6 ust. 1 lit. c, e i f RODO. Zasadny jest wniosek, że skoro nie doszło do zawarcia umowy kredytowej to ocena zdolności kredytowej uczestniczki i analiza ryzyka kredytowego zostały już dokonane (zrealizowane). W konsekwencji cel przetwarzania danych, dla którego zostały one zgromadzone został tym samym osiągnięty, a zatem odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawczyni przez stronę skarżącą kasacyjnie.

Nie mógł odnieść oczekiwanego skutku zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Prawidłowo Sąd Wojewódzki stwierdził, że nie stanowi w tej sprawie przesłanki zgodnego z prawem przetwarzania danych wnioskodawczyni art. 6 ust. 1 lit. c RODO. Interpretacja użytego w art. 6 ust. 1 lit. c RODO wyrażenia "obowiązku prawnego", który ciąży na administratorze, wymaga takiego przyjęcia jego rozumienia, zgodnie z którym, obowiązkiem prawnym jest tylko taki obowiązek, który wynika wyraźnie z przepisów ustawy lub z przepisów do ustaw wykonawczych.

Skarżący kasacyjnie powołuje się na przepisy Prawa bankowego. Jednak w sytuacji w której nie doszło do zawarcia przez uczestniczkę umowy o kredyt z Bankiem nie mogą one stanowić podstawy legalności dalszego przetwarzania danych osobowych niedoszłego klienta, rozumianej jako wypełnienie obowiązku prawnego ciążącego na administratorze.

Przepis art. 105 ust. 4 Prawa bankowego stanowi o tym, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania:

1. 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;
2. 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń;
3. 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z 12 maja 2011 r. o kredycie konsumenckim;
4. 4) instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim (...);
5. 5) jednostce zarządzającej systemem ochrony lub bankowi zrzeszającemu (...).

Trafnie Sąd Wojewódzki podkreślił, że art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje i nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy. Należy zaznaczyć, że ww. przepis jest podstawą kompetencyjną do utworzenia instytucji do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiącej tajemnicę bankową, którą jest BIK. W ten sposób wyznaczony został zarazem zakres działania BIK. Przepis ten jest również szczególną normą materialną zezwalającą na jednostronne ograniczanie praw jednostki w zakresie jej danych osobowych.

Nie wynika jednak z niego pełna, szczególna podstawa prawna przetwarzania danych osobowych, gdyż zakres upoważnienia do przetwarzania danych osobowych określony został ogólnie przez wskazanie, że chodzi o dane objęte tajemnicą bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa we wskazanym akcie normatywnym. Dopiero z dalszych regulacji wynika szczegółowy zakres danych osobowych, które mogą być legalnie przetwarzane przez banki oraz inne podmioty rynku okołobankowego, w tym instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego, jaką jest BIK. Zakres danych, które mogą być przetwarzane, zasady i czas przetwarzania wynikają z przepisów art. 105a Prawa bankowego.

Przepisy art. 105a ust. 1 i 1a ww. ustawy wskazują cele, którym może służyć przetwarzanie danych osobowych, przepis ust. 1b kategorie danych osobowych, które mogą być przetwarzane, przepis ust. 2 - przesłankę legalizującą przetwarzanie danych w postaci zgody osoby fizycznej, przepis ust. 3 - warunki przetwarzania danych osobowych bez zgody osoby fizycznej, przepis ust. 4 - warunki i cele przetwarzania danych osobowych bez zgody osoby fizycznej po wygaśnięciu zobowiązania, przepis ust. 5 - czas przetwarzania danych osobowych, a przepis ust. 6 - zakres przetwarzanych danych obejmujący dane o osobie fizycznej oraz o treści zobowiązania.

Naczelny Sąd Administracyjny stoi na stanowisku, że wszelkie regulacje znoszące ochronę danych osobowych muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Istotne jest podkreślenie, że analizowane przepisy odnoszą się wyłącznie do przetwarzania danych osobowych klientów banku, instytucji ustawowo upoważnionych do udzielania kredytów, czy instytucji pożyczkowych z którymi doszło do nawiązania relacji prawnej o charakterze zobowiązaniowym. Zatem uprawniony jest wniosek, że w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie umowy produktowej w zakresie zapytania kredytowego przez Bank, a następczo BIK. Bank ani podmiot, o którym mowa w art. 105 ust. 4 Prawa bankowego nie ma "obowiązku prawnego" w rozumieniu art. 6 ust. 1 lit. c RODO przetwarzania danych osobowych klienta, z którym nie doszło do nawiązania relacji prawnej zobowiązaniowej, gdyż przepisy art. 105a ust. 1-6 Prawa bankowego nie zawierają upoważnienia dla administratora do przetwarzania danych osobowych takiego klienta, ograniczając swój zakres wyłącznie do klientów, którzy zawarli umowę z bankiem.

Z kolei art. 70 Prawa bankowego, który powołano również w zarzutach skargi kasacyjnej, stanowi wyłącznie o badaniu przez banki zdolności kredytowej, zdefiniowanej w ust. 1 jako "zdolność kredytobiorcy do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie" i nie odnosi się do zagadnień dotyczących przetwarzania danych osobowych.

Brak jest również uzasadnienia dla przyjęcia, jak to słusznie ocenił Sąd Wojewódzki, że Biuro Informacji Kredytowej jest uprawnione do dalszego przetwarzania danych osobowych uczestniczki w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Zgodnie z tym przepisem, banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego (ust. 1). Wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej (ust. 2). Jak wynika z treści przywołanych norm, powstanie obowiązku o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia wniosku o przedłożenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej.

Tymczasem akta sprawy nie potwierdzają, aby został złożony taki wniosek. Uczestniczka zwróciła się natomiast o usunięcie jej danych osobowych związanych z zapytaniami kredytowymi i w związku z odmową w tym zakresie podjęła działania przed Prezesem UODO. Przyjąć więc należy, że nie jest zainteresowana realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej.

Z powyższych przyczyn jako niezasadny należało również ocenić zarzut dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego.

Nie mogły odnieść skutku również pozostałe zarzuty naruszenia prawa materialnego wskazane jako naruszenie art. 6 ust. 1 lit. e i f RODO. Naczelny Sąd Administracyjny odnosząc się do zarzutu naruszenia art. 6 ust. 1 lit. f RODO w nawiązaniu do wskazywanej przez stronę skarżącą kasacyjnie potrzeby przechowywania danych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy kredytowej, na wypadek ewentualnych przyszłych roszczeń wskazuje, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem.

Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony przyszłych, hipotetycznych roszczeń. Z akt sprawy nie wynika, aby wnioskodawczyni, która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do instytucji BIK. Natomiast jednoznacznie zażądała usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do dalszego przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego jak i w skardze nie wykazano - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych w zakresie zapytań kredytowych, z którym nie zawarto umowy kredytowej.

Sąd w składzie rozpoznającym sprawę podziela wyrażony już w orzecznictwie pogląd, zgodnie z którym, niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z 1 października 2025 r., III OSK 872/22).

Ponownie należy wskazać, że Rekomendacje S, W i T Komisji Nadzoru Finansowego na które powołuje się autor skargi kasacyjnej w związku z wykazywanym naruszeniem art. 6 ust. 1 lit. f RODO nie stanowią obowiązujących przepisów prawa, zatem nie mogły mieć znaczenia dla rozstrzygnięcia podjętego w niniejszej sprawie. Rekomendacje nie odnoszą się do przetwarzania danych osobowych w zakresie zapytań kredytowych w sytuacji, gdy umowa pomiędzy bankiem, a potencjalnym klientem nie została zawarta.

Nie mógł zostać uznany za skuteczny zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z uznaniem przez Sąd, że nie zachodzi podstawa prawna do przetwarzania danych osobowych uczestniczki postępowania z uwagi na konieczność "zapewnienia rozliczalności działań skarżącego". Rację ma Sąd I instancji, że przetwarzanie danych w celu udokumentowania prawidłowości ich przetwarzania nie stanowi celu, który wynika z prawnie uzasadnionego interesu, o którym mowa w art. 6 ust. 1 lit. f RODO.

W ocenie Naczelnego Sądu Administracyjnego, strona skarżąca kasacyjnie nie zdołała również wykazać, że w sprawie doszło do naruszenia art. 6 ust. 1 lit. e RODO w zakresie w jakim organ nie uznał tej normy za podstawę legalnego przetwarzania danych osobowych wnioskodawczyni. Jak trafnie zauważył Sąd Wojewódzki, przesłanka ujęta w tej regulacji nie była przedmiotem analizy organu w zaskarżonej decyzji. Ponadto, w ocenie Naczelnego Sądu Administracyjnego, nie można uznać aby w rozpoznawanej sprawie BIK realizowało zadania w interesie publicznym lub działało w ramach sprawowania władzy publicznej, do których to przesłanek odwołuje się art. 6 ust. 3 RODO.

Podsumowując, skoro wnioskodawczyni zażądała respektowania prawa do ochrony danych osobowych wynikających z RODO, a administrator danych osobowych jakim jest Biuro Informacji Kredytowej nie wykazało podstawy legalizującej czynności przetwarzania danych, to Prezes Urzędu Ochrony Danych Osobowych miał podstawę nakazać BIK zaprzestania przetwarzania danych osobowych uczestniczki w zakresie jej wniosku kredytowego oraz ich usunięcia, co prawidłowo ocenił Sąd pierwszej instancji w kwestionowanym wyroku.

Niezasadna okazała się również skarga kasacyjna wniesiona przez B. S.A. W ramach zarzutu naruszenia art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a. Bank zarzuca organowi nie wyjaśnienie dokładnie stanu faktycznego, brak wszechstronnego wyjaśnienia sprawy, ograniczenia postępowania do kwestii przekazania danych do BIK i nie ustalenie aktualnych podstaw przetwarzania danych na dzień wydania decyzji. W szczególności Bank twierdzi, że organ powinien był ustalić, czy upłynął termin przedawnienia potencjalnych roszczeń. Analizowany zarzut w istocie nie dotyczy braków dowodowych, lecz odmiennej oceny prawnej bezspornego stanu faktycznego. Dla rozstrzygnięcia sprawy kluczowe były trzy fakty: pozyskanie danych w celu oceny zdolności kredytowej, przekazanie danych do BIK oraz brak zawarcia umowy kredytowej. Te okoliczności były znane i nie wymagały dalszego postępowania dowodowego.

Nie można skutecznie zarzucać organowi naruszenia art. 7, art. 77 § 1 i art. 80 k.p.a. tylko dlatego, że organ nie podzielił stanowiska Banku co do podstaw prawnych dalszego przetwarzania danych. Spór dotyczył bowiem tego, czy wobec nie zawarcia umowy kredytowej istniała podstawa prawna dalszego przetwarzania danych osobowych, czyli kwestia z zakresu prawa materialnego, a nie postępowania dowodowego.

W ramach rozpoznania i rozstrzygnięcia sprawy nie było potrzeby czynienia ustaleń odnoszących się do terminu przedawnienia potencjalnych roszczeń. Sam upływ albo brak upływu terminu przedawnienia nie tworzy podstawy przetwarzania danych osobowych. Warunkiem powołania się na cel obrony przed roszczeniami jest wykazanie realnego, konkretnego roszczenia albo przynajmniej skonkretyzowanego sporu, a nie abstrakcyjnej możliwości, że takie roszczenie może kiedyś powstać.

Konsekwentnie nie było podstaw do uwzględnienia zarzutu naruszenia art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 2¹, art. 118 i 119 k.c. oraz z przepisami nowelizującymi Kodeks cywilny. Bank zarzuca, że WSA błędnie przyjął, iż kwestia ewentualnych roszczeń klienta nie ma znaczenia dla możliwości przetwarzania danych do upływu terminu przedawnienia. Oczywiście, w pewnych sytuacjach administrator może przetwarzać dane w celu dochodzenia lub obrony przed roszczeniami. Nie oznacza to jednak, że może przechowywać dane każdej osoby do końca potencjalnego terminu przedawnienia, tylko dlatego że hipotetycznie może pojawić się spór. Bank powinien wykazać konkretne roszczenie, spór albo realną i skonkretyzowaną potrzebę procesową. W tej sprawie nie wykazano, aby uczestniczka dochodziła roszczeń wobec Banku albo aby Bank dochodził roszczeń wobec uczestniczki. Samo żądanie usunięcia danych nie jest jeszcze roszczeniem cywilnoprawnym uzasadniającym dalszą retencję pełnych danych kredytowych.

Przyjęcie stanowiska Banku prowadziłoby do przetwarzania danych "na zapas". Naczelny Sąd Administracyjny wielokrotnie potwierdzał, że Bank nie może przetwarzać danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wyłącznie w celu obrony przed ewentualnymi przyszłymi roszczeniami, jeżeli nie wykazano konkretnego sporu – wyrok NSA z 8 stycznia 2025 r. sygn. akt. III OSK 4868/21.

Nie zasługiwał na uwzględnienie zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 7b k.p.a. Postanowienia art. 7b k.p.a. nie nakładały w tej sprawie na organ obowiązku zasięgnięcia stanowiska Komisji Nadzoru Finansowego. Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym do oceny legalności przetwarzania danych osobowych i może samodzielnie dokonywać wykładni przepisów RODO oraz krajowych przepisów dotyczących podstaw przetwarzania danych. Rola Komisji Nadzoru Finansowego w nadzorze nad sektorem bankowym nie oznacza, że organ musi w każdej sprawie dotyczącej banku uzyskiwać jej opinię. Stanowisko Komisji Nadzoru Finansowego nie mogłoby stworzyć podstawy prawnej przetwarzania danych. Rekomendacje Komisji mogą mieć znaczenie praktyczne lub ostrożnościowe, ale nie są źródłem prawa powszechnie obowiązującego. Nie mogą więc samodzielnie uzasadniać ani obowiązku prawnego z art. 6 ust. 1 lit. c RODO, ani prawnie uzasadnionego interesu w rozumieniu art. 6 ust. 1 lit. f RODO w zakresie sprzecznym z zasadami RODO.

Z powyższym zarzutem bezpośrednio łączy się zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T. Naczelny Sąd Administracyjny przyznaje, że możliwe jest uznanie, że Bank ma interes w zarządzaniu ryzykiem kredytowym i zgodności z rekomendacjami nadzorczymi. Okoliczność ta jest jednak niewystarczająca do przetwarzania danych osobowych. Przepis art. 6 ust. 1 lit. f RODO wymaga łącznie: istnienia prawnie uzasadnionego interesu, niezbędności przetwarzania danych do realizacji tego interesu oraz braku nadrzędnego charakteru praw i wolności osoby, której dane dotyczą. Bank nie wykazał niezbędności dalszego przetwarzania danych uczestniczki po zakończeniu procedury kredytowej. Rekomendacje Komisji Nadzoru Finansowego nie są źródłem prawa powszechnie obowiązującego i nie mogą przełamać zasad RODO: ograniczenia celu, minimalizacji danych oraz ograniczenia przechowywania. W przypadku braku zawarciu umowy o kredyt odpada cel przetwarzania, jakim jest badanie zdolności kredytowej, a Bank i BIK muszą zaprzestać przetwarzania danych dotyczących takich zapytań.

Uzasadniając zarzut naruszenia art. 6 ust. 1 RODO w zw. z art. 70a ust. 1, art. 105a ust. 1–1c i 3, art. 106d Prawa bankowego, AML i CRR Bank eksponuje, że wymienione przepisy formułują obowiązki prawne, których realizacja wymaga dalszego przetwarzania danych uczestniczki. Zarzut ten został sformułowany szeroko, przez odwołanie do art. 6 ust. 1 RODO ogólnie, a więc do katalogu podstaw przetwarzania. Artykuł 6 ust. 1 RODO zawiera zamknięty katalog autonomicznych podstaw legalizujących przetwarzanie danych. Administrator musi wykazać konkretną przesłankę przetwarzania. Treść art. 70a Prawa bankowego może uzasadniać określone obowiązki informacyjne banku wobec osoby ubiegającej się o kredyt, ale nie tworzy generalnego uprawnienia do dalszego przechowywania danych osoby, z którą nie zawarto umowy. Podobnie art. 105a Prawa bankowego nie może być wykładany rozszerzająco. Jeżeli procedura kredytowa zakończyła się bez zawarcia umowy to nie powstało zobowiązanie, którego istnienie, trwanie albo wygaśnięcie mogłoby uzasadniać dalsze przetwarzanie danych.

Również art. 106d Prawa bankowego i przepisy AML nie legalizują automatycznie przetwarzania danych w każdej sprawie kredytowej. Bank musiałby wykazać konkretną potrzebę przetwarzania danych uczestniczki dla przeciwdziałania przestępczości, praniu pieniędzy lub finansowaniu terroryzmu. Z akt sprawy nie wynika, by takie konkretne przesłanki zostały wykazane. Organ w uzasadnieniu decyzji zauważył, że nie wykazano okoliczności z art. 106d Prawa bankowego ani konkretnego obowiązku AML uzasadniającego dalsze przetwarzanie.

Bank zarzucił również, że przepisy CRR dotyczące wymogów ostrożnościowych, modeli i metod wewnętrznych tworzą obowiązki prawne, których wykonanie wymaga przetwarzania danych uczestniczki – zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z przepisami rozporządzenia 575/2013. Przepisy te nie stanowią wystarczająco konkretnej podstawy prawnej do dalszego przetwarzania danych osobowych osoby, z którą nie doszło do zawarcia umowy kredytowej. Regulując one wymogi ostrożnościowe i modele ryzyka, ale nie przesądzają, że Bank może bez ograniczeń czasowych zachowywać dane wszystkich niedoszłych klientów.

Nie można utożsamiać obowiązku zarządzania ryzykiem kredytowym z prawem do dalszego przetwarzania danych osobowych konkretnej osoby po zakończeniu celu, dla którego dane zostały zebrane. W tej sprawie cel pierwotny - ocena zdolności kredytowej w związku z konkretnym wnioskiem - został zrealizowany. Wobec nie zawarcia umowy dalsze wykorzystywanie danych w celach modelowych, statystycznych albo ostrożnościowych wymagałoby odrębnej, wyraźnej podstawy prawnej.

W orzecznictwie sądów administracyjnych w analogicznych sprawach wskazywano, że art. 70, art. 105 ust. 4 i art. 105a Prawa bankowego nie legalizują dalszego przetwarzania danych, gdy wniosek kredytowy nie zakończył się zawarciem umowy; tym bardziej takiej podstawy nie można wyprowadzać pośrednio z ogólnych wymogów ostrożnościowych.

Zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 58 ust. 2 lit. b, art. 6 ust. 1 i art. 5 ust. 1 RODO ma charakter wynikowy. Bank twierdzi, że skoro - jego zdaniem - posiadał podstawę przetwarzania danych to nie naruszył RODO, a decyzja nakazująca usunięcie danych była niezasadna. Skoro jednak zarzuty dotyczące podstaw przetwarzania danych okazały się niezasadne, to prawidłowa jest również ocena, że Bank naruszył przepisy RODO przez dalsze przetwarzanie danych bez podstawy prawnej. W takiej sytuacji Prezes Urzędu Ochrony Danych Osobowych mógł zastosować środek naprawczy polegający na nakazaniu usunięcia danych.

W sprawie zachodziła przesłanka z art. 17 ust. 1 lit. a RODO: dane osobowe nie były już niezbędne do celów, dla których zostały zebrane. Dane zostały pozyskane w celu oceny zdolności kredytowej w związku z konkretnym wnioskiem. Skoro Bank nie wykazał innej podstawy z art. 6 ust. 1 RODO nakaz usunięcia danych był w pełni uzasadniony.

W wykazanym stanie sprawy, wobec uznania, że skargi kasacyjne nie mają uzasadnionych podstaw Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., orzekł o ich oddaleniu. O kosztach postępowania orzeczono w oparciu o art. 204 pkt 1 p.p.s.a.

Odnosząc się do wniosku Banku o wystąpienie z pytaniami prejudycjalnymi do Trybunału Sprawiedliwości Unii Europejskiej, należy podkreślić, że Naczelny Sąd Administracyjny nie ma obowiązku wystąpienia z pytaniem prejudycjalnym w każdym przypadku, gdy o to wystąpi strona. W rozpoznawanej sprawie Naczelny Sąd Administracyjny nie znalazł podstaw do uwzględnienia żądania. W orzecznictwie przyjmuje się, że artykuł 267 Traktatu o funkcjonowaniu Unii Europejskiej umożliwia skierowanie pytania prejudycjalnego do Trybunału w zakresie wykładni traktatów lub ważności i wykładni aktów przyjętych przez instytucje UE jeśli sąd krajowy, przed którym takie pytanie postawiono uzna, że decyzja w tej kwestii jest niezbędna do wydania wyroku. Zdaniem Naczelnego Sądu Administracyjnego, skierowanie pytania prejudycjalnego nie było niezbędne dla wydania wyroku w niniejszej sprawie.

Naczelny Sąd Administracyjny nie znalazł również podstaw odnośnie do potrzeby skierowania przez skład orzekający w przedmiotowej sprawie wniosku o podjęcie przez Naczelny Sąd Administracyjny uchwały na podstawie art. 15 § 1 pkt 3 p.p.s.a., zawierającej rozstrzygnięcie zagadnień prawnych budzących poważne wątpliwości w konkretnej sprawie sądowoadministracyjnej. Przypomnienia wymaga, że zgodnie art. 187 § 1 p.p.s.a., skład orzekający NSA przedstawia zagadnienie prawne budzące poważne wątpliwości do rozstrzygnięcia składowi siedmiu sędziów tego Sądu. Skład przedstawiający takie zagadnienie ma obowiązek wykazania, że w sprawie wystąpiło "zagadnienie prawne budzące poważne wątpliwości" w rozumieniu art. 187 § 1 p.p.s.a. oraz że podniesione w skardze kasacyjnej zarzuty i wnioski uzasadniały jego sformułowanie. W orzecznictwie przyjmuje się, że "zagadnienia prawne budzące poważne wątpliwości" to takie kwestie prawne, których wyjaśnienie nastręcza znaczne trudności, głównie z powodu możliwości różnego rozumienia przepisów prawnych.

Podstawą do przyjęcia, że wystąpiła przesłanka, określona w art. 187 § 1 p.p.s.a., będzie przede wszystkim pojawienie się w danej kwestii prawnej rozbieżności w orzecznictwie sądów administracyjnych (uchwała NSA z 15 grudnia 2004 r. sygn. akt FPS 2/04).

Uzasadnieniem wniosków o skierowanie pytań prejudycjalnych oraz o podjęcie uchwały miały być m.in. trudności interpretacyjne, które obrazować miała rozbieżność w orzecznictwie sądowoadministracyjnym. Na poparcie stawianej tezy o akceptowanej przez Naczelny Sąd Administracyjny możliwości przetwarzania danych na wypadek przyszłych, potencjalnych roszczeń Bank przywołał wybrane fragmenty wyroku Naczelnego Sądu Administracyjnego z dnia 20 lutego 2024 r. sygn. akt III OSK 2700/22. Nie uwzględnił jednak, że zaprezentowane przez Sąd stanowisko w ww. wyroku zostało sformułowane w odmiennych realiach faktycznych i prawnych. Sprawa dotyczyła bowiem przetwarzanie danych osobowych uzyskanych w procesie rekrutacji, celem zabezpieczenia uzasadnionych prawnych interesów administratora oraz wnioskodawczyni na wypadek ewentualnego postępowania sądowego w przedmiocie dyskryminacji w procesie zatrudnienia, co zdaniem Sądu, może mieć podstawę w treści art. 6 ust. 1 lit. f RODO.

W dalszej części uzasadnienia Sąd wskazał, że "(...) kwestia ta wymaga sformułowania ocen prawnych z uwzględnieniem uwarunkowań cechujących konkretną relację łączącą - w analizowanym przypadku - Skarżącą spółkę i Wnioskodawczynię. (...) Powołany w skardze kasacyjnej wyrok NSA z 27 marca 2018 r., sygn. I OSK 1459/16 dotyczył zupełnie innego układu faktycznego - chodziło o przetwarzanie danych osobowych uzyskanych przez formularze kontaktowe znajdujące się na stronie internetowej banku. Wzmiankowany wyrok zapadł na gruncie art. 23 ust. 1 pkt 5 u.o.d.o. Adekwatnego przełożenia na grunt niniejszej sprawy nie znajdują również oceny prawne sformułowane przez NSA w wyroku z 6 marca 2019 r., sygn. I OSK 994/17. W realiach tej sprawy NSA wypowiedział się o braku dopuszczalności przetwarzania danych osobowych przez bank, w sytuacji gdy klient złożył wniosek kredytowy, ale ostatecznie nie zawarł z bankiem żadnej umowy, a więc nie łączył go z bankiem żaden stosunek prawny, który mógłby stanowić źródło przyszłych roszczeń.

Oceny o analogicznym charakterze NSA sformułował w sprawie rozstrzygniętej wyrokiem z 27 sierpnia 2019 r., sygn. I OSK 2567/17. W jego uzasadnieniu NSA zwrócił uwagę na brak podstaw do przetwarzania przez bank danych osobowych klienta uzyskanych na potrzeby zapytania kredytowego i po przeprowadzeniu oceny jego zdolności kredytowej, w sytuacji gdy ostatecznie żadna umowa kredytowa nie została zawarta. I w tym układzie, dalszego przetwarzania danych osobowych klienta nie da się uzasadnić jakąkolwiek relacją prawną z bankiem." Z przedstawionego wyżej fragmentu uzasadnienia wyroku wynika jednoznacznie, że orzekając w sprawie o sygn. akt III OSK 2700/22 Naczelny Sąd Administracyjny zaakcentował odmienne stany prawne i faktyczne rozpoznawanej sprawy od spraw dotyczących przetwarzania przez banki danych osobowych osób, z którymi banki te nie łączyły jakiekolwiek umowy.

W ramach uzasadnienia pytań prejudycjalnych (nr 1 i 2), dla umocnienia argumentacji o niejednolitości orzecznictwa sądowoadministracyjnego, Bank powołał się na wyrok WSA w Warszawie z 29 października 2021 r. sygn. akt II SA/Wa 506/21. Naczelnemu Sądowi Administracyjnemu wiadomym jest z urzędu, że wyrok ten został uchylony w całości wyrokiem Naczelnego Sądu Administracyjnego z 29 maja 2025 r. sygn. akt III OSK 984/22. Natomiast argumentację przywołaną pomocniczo w zakresie pytania 3 miały stanowić wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie z 10 listopada 2021 r. sygn. akt II SA/Wa 868/21 i z 13 grudnia 2021 r. sygn. akt II SA/Wa 1528/21. Oba te wyroki zostały również uchylone przez Naczelny Sąd Administracyjny odpowiednio wyrokami z 17 października 2025 r. sygn. akt III OSK 1890/22 i z 1 października 2025 r. sygn. akt III OSK 872/22. Powyższe oznacza, że orzecznictwo Naczelnego Sądu Administracyjnego w tego rodzaju sprawach zostało ukształtowane i jest jednolite.