Wyrok - III OSK 753/23 - Naczelny Sąd Administracyjny - z dnia 27 marca 2026
Teza
Oddalono skargi kasacyjne. Ochrona danych osobowych, Sprawy związane z ochroną danych osobowych. Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Zbigniew Ślusarczyk Sędziowie: sędzia NSA Olga Żurawska-Matusiak sędzia del. WSA Hanna Knysiak-Sudyka (sprawozdawca) Protokolant starszy asystent sędziego Przemysław Iżycki po rozpoznaniu w dniu 27 marca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych [...] Bank [...] S.A. z siedzibą [...] i Biura [...] S.A. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 grudnia 2022 r. sygn. akt II SA/WOddalono skargi kasacyjne. Ochrona danych osobowych, Sprawy związane z ochroną danych osobowych. Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Zbigniew Ślusarczyk Sędziowie: sędzia NSA Olga Żurawska-Matusiak sędzia del. WSA Hanna Knysiak-Sudyka (sprawozdawca) Protokolant starszy asystent sędziego Przemysław Iżycki po rozpoznaniu w dniu 27 marca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych [...] Bank [...] S.A. z siedzibą [...] i Biura [...] S.A. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 grudnia 2022 r. sygn. akt II SA/W
Najważniejsze informacje
W skrócie
Wynik
oddalono skargę
Typ sprawy
sprawa nieprocesowa
Etap
skarga kasacyjna
Tryb
rozprawa
Role w sprawie
apelujący / skarżący
wnioskodawca
Data orzeczenia
27 marca 2026
Sąd
Naczelny Sąd Administracyjny
Przewodniczący
Hanna Knysiak - Sudyka
Podstawa prawna
Rozstrzygnięcie
Oddalono skargi kasacyjne
UZASADNIENIE
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 20 grudnia 2022 r., sygn. akt II SA/Wa 1463/22, oddalił skargi [...] Bank [...] S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 20 czerwca 2022 r. nr DS.523.5836.2020.FT.UD. oraz Biura [...] S.A. z siedzibą w Warszawie na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 20 czerwca 2022 r. nr DS.523.5836.2020.FT.UD. w przedmiocie przetwarzania danych osobowych.Wyrok wydany został w następującym stanie faktycznym i prawnym.M.M. (dalej: "wnioskodawca"), pismem z dnia 30 czerwca 2020 r. wystąpił (za pośrednictwem internetowego formularza reklamacyjnego oraz przesyłką kurierską DPD) do [...] Bank [...] S.A. z siedzibą [...] (dalej: "Bank") z żądaniem trwałego usunięcia danych wpisanych na jego profilu Biura [...] S.A. z siedzibą [...] przy ul. [...] (dalej: "B." S.A.") związanych z zapytaniami kredytowymi z 6 grudnia 2019 r., 7 marca 2020 r., 12 maja 2020 r., 11 czerwca 2020 r. Bank odmówił wnioskodawcy uwzględnienia wniosku, powołując się na art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz.U. z 2020 r., poz. 1896 ze zm.; dalej: "u.P.b.").Pismem z 10 listopada 2020 r. M.M. wystosował skargę do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" lub "organ") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na udostępnieniu danych osobowych do B. S.A. i odmowie usunięcia zapytań kredytowych z 6 grudnia 2019 r., 7 marca 2020 r., 12 maja 2020 r., 11 czerwca 2020 r. przetwarzanych przez B. S.A.Decyzją z dnia 20 czerwca 2022 r., nr DS.523.5836.2020.FT.UD Prezes UODO przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz.U. z 2021 r. poz. 735, z późn. zm., dalej "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781; dalej "u.o.d.o.") oraz art. 6 ust. 1 i art. 58 ust. 2 lit. b i c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L. nr 119. str. 1, ze zm.; dalej: "RODO") uznał zasadność skargi wnioskodawcy na nieprawidłowości w procesie przetwarzania jego danych osobowych, polegające na udostępnieniu przez Bank danych osobowych skarżącego do B. S.A. oraz odmowie usunięcia zapytań kredytowych z 6 grudnia 2019 r., 7 marca 2020 r., 12 maja 2020 r. i 11 czerwca 2020 r. przetwarzanych przez B. S.A., nakazując:1. Bankowi - usunięcie danych osobowych wnioskodawcy, w zakresie zapytań kredytowych z: 7 marca 2020 r., 12 maja 2020 r., 11 czerwca 2020 r., niezakończonych udzieleniem kredytu,2. B. S.A. - usunięcie danych osobowych wnioskodawcy, w zakresie zapytań kredytowych z: 7 marca 2020 r., 12 maja 2020 r., 11 czerwca 2020 r., niezakończonych udzieleniem kredytu, przekazanych przez Bank.Ponadto w pkt 3 decyzji udzielił Bankowi upomnienia za przetwarzanie danych osobowych M.M. w zakresie zapytania kredytowego z dnia 6 grudnia 2019 r. bez podstawy prawnej w okresie od 6 grudnia 2019 r. do 7 grudnia 2020 r.Uzasadniając swoje stanowisko Prezes UODO wskazał, że w trakcie prowadzonego postępowania administracyjnego pismem z 10 grudnia 2020 r. B. S.A. złożył Prezesowi UODO wyjaśnienia wskazując, że na podstawie art. 105 ust. 4 u.P.b. przetwarza dane osobowe pochodzące z zapytania kredytowego wnioskodawcy z dnia 7 marca 2020 r., 12 maja 2020 r., 11 czerwca 2020 r., 6 lutego 2020 r., 20 października 2011 r. i 15 maja 2011 r. przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej). Ponadto B. S.A. będzie przetwarzał jego dane osobowe w związku ze złożonymi zapytaniami kredytowymi w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do B. S.A., w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych - do momentu przedawnienia potencjalnych roszczeń wynikających z zapytań oraz w celu wypełnienia obowiązku wynikającego z art. 15 RODO.Pismem z 21 grudnia 2020 r. również Bank poinformował organ, że przetwarza dane osobowe M.M w związku z zawartą z nim umową kredytu na zakup towarów/usług nr [...] oraz w związku z zapytaniami kredytowymi z: 29 listopada 2019 r., 4 grudnia 2019 r., 11 czerwca 2020 r., 6 lutego 2020 r., 7 marca 2020 r., 12 maja 2020 r. Dane z zapytań kredytowych z 7 marca 2020 r. i 12 maja 2020 r. będą przetwarzane przez Bank przez okres 6 lat na podstawie art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny (t.j. Dz.U. z 2020 r., poz. 1740 ze zm.; dalej: "k.c."). Bank zaznaczył również, że dane osobowe wnioskodawcy są przez niego przetwarzane również do celów statystycznych i analiz, w tym do celów stosowania metod wewnętrznych oraz innych metod i modeli, na podstawie art. 105a ust. 4 u.P.b.Organ wskazał, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i B. S.A. może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Z kolei zgodnie z art. 105a ust. 1 Prawa bankowego przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4 informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto stosownie do art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie.Organ zaznaczył również, że skarżący w dniach 6 grudnia 2019 r., 7 marca 2020 r., 12 maja 2020 r. oraz 11 czerwca 2020r., wystąpił do Banku z wnioskami o udzielenie kredytu, wobec czego Bank oraz B. S.A., na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych skarżącego w celu oceny jego zdolności kredytowej. Prezes UODO podkreślił, że w związku z ww. zapytaniami nie doszło do zawarcia umowy kredytu pomiędzy skarżącym a Bankiem. Zdaniem organu w związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych skarżącego przez Bank oraz B. S.A. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a skarżącym nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych skarżącego. Organ podkreślił również, że celem przetwarzania danych osobowych skarżącego była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych skarżącego został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu.Ponadto zdaniem Prezesa UODO za podstawę przetwarzania danych osobowych skarżącego nie mogą być również uznane wskazane przez B. S.A. cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Powołany przez B. S.A. art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej zaś sprawie nie doszło do zawarcia umowy kredytu pomiędzy skarżącym a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie.Organ uznał również, że zebrany w sprawie materiał dowodowy nie wykazał, aby Bank lub B. S.A. mogły przetwarzać dane osobowe skarżącego dotyczące zapytań kredytowych z 7 marca 2020 r., 12 maja 2020 r. oraz 11 czerwca 2020 r. na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, albowiem w toku prowadzonego postępowania nie wykazano, aby zaszła którakolwiek z przesłanek określonych w ww. przepisach. W szczególności nie wykazano, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazał także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3.Za podstawę przetwarzania danych osobowych wnioskodawcy nie mogą być również wskazane przez Bank oraz B. S.A. cele ustalenia, dochodzenia lub obrony roszczeń. Organ podniósł, że zebrany w postępowaniu materiał dowodowy nie wykazał, aby skarżący wystąpił z jakimkolwiek roszczeniem wobec Banku czy B., które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez skarżącego tego roszczenia. Organ podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.Ponadto organ podniósł, że brak jest również uzasadnienia dla przyjęcia, iż Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Stosownie do art. 70a ust. 1 prawa bankowego banki i inne instytucje ustawowo upoważnione do udzielania kredytów, na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Stosownie zaś do art. 70a ust. 2 Prawa bankowego wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Zdaniem Prezesa UODO jeżeli bank w wyniku dokonanej oceny zdolności kredytowej nie udzieli kredytu, nie dojdzie zatem do zawarcia umowy kredytu, to po stronie ubiegającego się o kredyt nie powstają żadne roszczenia cywilnoprawne.Wobec powyższych ustaleń organ uznał, że brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych skarżącego zawartych w przedmiotowych zapytaniach kredytowych zarówno przez Bank, jak i przez B. S.A. Prezes UODO wyjaśnił, że Bank w związku z pozyskaniem danych osobowych skarżącego w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast B. S.A. stał się administratorem danych osobowych skarżącego z uwagi na przekazanie tych danych przez Bank. W związku z tym Bank oraz B. S.A. są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe skarżącego we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez skarżącego przetwarzania jego danych osobowych przez Bank i B. nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu. Organ wyjaśnił, że korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazał Bankowi i B. S.A. usunięcie danych osobowych skarżącego przetwarzanych w związku ze złożonymi zapytaniami kredytowymi z 7 marca 2020 r., 12 maja 2020 r. oraz 11 czerwca 2020 r.Nadto w sprawie doszło do naruszenia przepisów o ochronie danych osobowych przez Bank, poprzez przetwarzanie danych osobowych skarżącego w zakresie zapytania z dnia 6 grudnia 2019 r. bez podstawy prawnej. Ze zgromadzonego w sprawie materiału dowodowego wynika, że Bank ostatecznie w dniu 7 grudnia 2020 r. usunął dane osobowe skarżącego, a kwestionowane przetwarzanie nie jest już obecnie kontynuowane. W tej sytuacji organ, korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. b RODO, udzielił Bankowi upomnienia w zakresie stwierdzonego naruszenia przepisów dotyczących ochrony danych osobowych.Na powyższe rozstrzygnięcie Bank oraz B. S.A. złożyły skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, który w przywołanym powyżej wyroku z 20 grudnia 2022 r., w oparciu o art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2022 r., poz. 329 ze zm.), oddalił je. Obie sprawy zostały na rozprawie 20 grudnia 2022 r. połączone do łącznego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygn. akt II SA/Wa 1463/22.W ocenie Sądu pierwszej instancji celem przetwarzania danych osobowych skarżącego była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oraz B. S.A. tejże oceny powyższy cel przetwarzania danych osobowych skarżącego został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Trafne jest zatem stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO. Przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez B. S.A. i Bank danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy.Zdaniem Sądu pierwszej instancji Bank w sposób nieuprawniony próbuje rozszerzyć stosowanie normy wskazanej w art. 105a ust. 1 Prawa bankowego na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Bank wskazuje bowiem, że do takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenia jej kredytu. Jednakże, skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem jej dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy, takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy, ani z Prawa bankowego.W ocenie Sądu pierwszej instancji przesłanka przetwarzania danych z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami.Konkludując Sąd pierwszej instancji wskazał, decyzja Prezesa UODO jest zgodna z prawem, zaś zarzuty skarg nie zasługiwały na uwzględnienie.Na powyższe orzeczenie [...] Bank [...] S.A. z siedzibą [...] wywiódł skargę kasacyjną do Naczelnego Sądu Administracyjnego, zarzucając wyrokowi:1) naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. naruszenie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935; dalej: "p.p.s.a.") poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów art. 7, 77 oraz 80 k.p.a. poprzez niewyczerpujące rozpatrzenie materiału dowodowego oraz dokonanie jego dowolnej oceny, przejawiającej się w uznaniu, że Bank nie dysponuje przesłankami legalizującymi przetwarzanie danych osobowych skarżącego, pomimo że przetwarzanie danych osobowych skarżącego jest niezbędne do realizacji obowiązków prawnych ciążących na Banku oraz realizacji jego prawnie uzasadnionych interesów;2) naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. naruszenie art. 151 p.p.s.a. poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7b k.p.a., polegającego na braku zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych z m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych co uniemożliwiło dokładne wyjaśnienie stanu faktycznego sprawy;3) prawa materialnego, tj. art. 6 ust. 1 lit. c RODO (względnie: art. 6 ust. 1 lit.f RODO) w zw. z art. 105a ust. 1 i ust. 1a w zw. z art. 105a ust. 2 i 3 Prawo bankowe poprzez ich błędną wykładnię i przyjęcie, że Bank jest jedynie obowiązany do dokonania oceny zdolności kredytowej klientów, podczas gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego, która dotyczy całego portfela kredytowego banku, a nie ogranicza się wyłącznie do oceny zdolności kredytowej konkretnej osoby wnioskującej o kredyt, ani też nie dotyczy wyłącznie powstałych już zobowiązań, a ocena ta służy do zapewnienia bezpieczeństwa i stabilności całego sektora finansowego oraz bezpieczeństwa finansowego osób wnioskujących o kredyt;4) prawa materialnego, tj. art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 ("CRR") poprzez ich błędną wykładnię polegającym na przyjęciu, że na Banku nie ciążą obowiązki wynikające z CRR związane z analizą ryzyka kredytowego wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem; 5) prawa materialnego, tj. art. 6 ust. 1 lit. c RODO w zw. z art. 39 ust. 1 w zw. z art. 34 ust. 1, art. 34 ust. 3, art. 35 ust. 1 pkt 1, 36 ust. 1, oraz 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu ("AML") w związku z art. 106d ust. 1 pkt 3 Prawa bankowego poprzez ich niewłaściwą wykładnię, polegającą na przyjęciu, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu wówczas, gdy nie doszło do zawarcia umowy pomiędzy bankiem a klientem, podczas gdy banki, jako instytucje obowiązane w rozumieniu przepisów AML, mają obowiązek wykonania środków bezpieczeństwa finansowego oraz udokumentowania ich zastosowania przed nawiązaniem stosunków gospodarczych, a więc jeszcze przed ewentualnym powstaniem cechy trwałości tychże stosunków, a następnie przechowywania tych informacji przez terminy wskazane w art. 49 ust. 1 i 2 AML;6) prawa materialnego, tj. art. 6 ust. 1 lit. c RODO w zw. z art. 70a Prawo bankowe poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank jest obowiązany do dokonania wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej wnioskującego bez otrzymanych i przetwarzanych danych osobowych klienta, tylko wtedy, gdy zawarł on umowę z bankiem.7) prawa materialnego, tj. art. 6 ust. 1 lit. f RODO w zw. z art. 117 §1, §2 i §2(1) oraz 118 k.c. poprzez ich błędną wykładnię, polegającą na uznaniu, że obrona i dochodzenie roszczeń mogą dotyczyć wyłącznie już istniejących roszczeń oraz stwierdzeniu, że prawnie uzasadnionym interesem administratora nie może być obrona przed roszczeniami lub dochodzenie roszczeń jeszcze nieskonkretyzowanymi w postaci wezwania lub pozwu;8) prawa materialnego, tj. art. 6 ust. 1 lit. f RODO poprzez jego błędną zastosowanie, polegającą na przyjęciu, że prawnie uzasadnionym interesem Banku nie jest stosowanie Rekomendacji S, W i T, wydanych przez Komisję Nadzoru Finansowego, podczas gdy zawierają one listę konkretnych oczekiwań, które winny być spełnione przez każdy bank i zostały wydane przez organ nadzorczy, któremu kontroli podlegają, a prawnie uzasadniony interes nie musi wynikać z przepisów powszechnie obowiązującego prawa.Wobec powyższych zarzutów skarżący kasacyjnie wniósł na podstawie art. 185 p.p.s.a o uchylenie w części dotyczącej oddalenia skargi Banku zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie. Jednocześnie wniósł o rozpoznanie skargi kasacyjnej na rozprawie oraz o zasądzenie kosztów postępowania kasacyjnego, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa od organu, według norm prawem przepisanychZe skargą kasacyjną od wyroku z 20 grudnia 2022 r. wystąpiło do NSA również Biuro [...] S.A. z siedzibą w [...], wnosząc o uchylenie wyroku w części oddalającej skargę Biura [...] S.A. na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 20 czerwca 2022 r.Na podstawie art. 174 pkt. 2 p.p.s.a. skarżący kasacyjnie zarzucił naruszenie przepisów postępowania, mających wpływ na treść orzeczenia, tj.:1. art. 145 §1 pkt 1 lit. c p.p.s.a. w związku z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o, poprzez uznanie przez Wojewódzki Sąd Administracyjny, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy ten:- zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo – ekonomicznych, dla jakich zostało powołane Biuro [...] S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącego do przetwarzania danych osobowych,- zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na B. S.A., jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącego danych osobowych skarżącego w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące B. S.A. do przetwarzania danych osobowych skarżącego,- nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji B. S.A. jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia pożyczki wynikającego z braku istnienia zdolności kredytowej po stronie skarżącego, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez B. S.A. danych osobowych skarżącego w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące B. S.A. do przetwarzania danych osobowych skarżącego,- nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy pożyczki, pomimo, iż przepisy prawa upoważniają B. S.A. do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących B. S.A. do przetwarzania danych osobowych,co w konsekwencji doprowadziło do oddalenia skargi przez WSA w skutek błędnego przyjęcia przez WSA braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji B. S.A. do przetwarzania danych osobowych skarżącego;2. art 145 §1 pkt 1 lit. c p.p.s.a. w związku z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. poprzez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez Prezesa UODO stosownych czynności, w tym zasadnie zaniechał zwrócenia się do Komisji Nadzoru Finansowego, podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego Prezes UODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny;3. art. 141 § 4 p.p.s.a, poprzez brak wskazania w uzasadnieniu wyroku przez WSA podstawy prawnej rozstrzygnięcia, jak i jej wyjaśnienia w zakresie, w jakim Sąd nie ustosunkował się w uzasadnieniu wyroku do zarzutu naruszenia przez organ art. 8 § 1 i § 2 k.p.a. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej, co w konsekwencji pozbawiło BIK S.A. możliwości odniesienia się do przesłanek jakimi kierował się WSA oceniając stan faktyczny i prawny sprawy.Na podstawie art. 174 pkt 1 p.p.s.a., zarzucił także naruszenie przepisów prawa materialnego, tj.:1. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 Prawo bankowe poprzez ich niewłaściwe zastosowanie przejawiające się w przyjęciu, że w sytuacji, gdy nie doszło pomiędzy skarżącym a Bankiem zawarcia umowy pożyczki B. S.A. nie jest uprawniony do przetwarzania danych osobowych skarżącego, a w konsekwencji przyjęcie, że BIK S.A. nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie pożyczki w przypadku nie zawarcia umowy o pożyczkę, podczas gdy B. S.A. jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;2. art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na B. S.A. obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych skarżącego w sytuacji nie zawarcia umowy o pożyczkę, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B. S.A., w postaci obowiązku przekazania osobie ubiegającej się o pożyczkę w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego;3. art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych skarżącego w sytuacji nie zawarcia umowy o pożyczkę, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B. S.A. w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym;4. art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących , które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej skarżącego niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to B. S.A. zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej;5. art. 6 ust. 1 lit. f RODO poprzez niewłaściwe zastosowanie poprzez przyjęcie, że wskutek braku zawarcia umowy o pożyczkę B. S.A. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych skarżącego, podczas gdy istnieje prawnie uzasadniony interes B. S.A. w przetwarzaniu tych informacji pomimo nie zawarcia umowy o pożyczkę, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym;6. art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych skarżącego, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań B. S.A. jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych.Mając na uwadze powyższe zarzuty, wniósł o uchylenie zaskarżonego wyroku w części oddalającej skargę Biura [...] S.A. z siedzibą [...] i przekazanie do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz rozpoznanie skargi kasacyjnej na rozprawie. Ponadto wniósł o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych.W odpowiedzi na skargi kasacyjne organ – w pełni podzielając argumentację wyroku Sądu pierwszej instancji - wniósł o ich oddalenie oraz o rozpoznanie sprawy na rozprawie.Naczelny Sąd Administracyjny zważył, co następuje:Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2026 r., poz. 143; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.Skargę kasacyjną można oprzeć na następujących podstawach:1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy.W obu skargach kasacyjnych zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyroki NSA z 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; z 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; z 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; z 17 lutego 2023 r., II GSK 1458/19; z 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyroki NSA: z 5 maja 2004 r., FSK 6/04, LEX nr 129933; z 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; z 29 listopada 2022 r., I OSK 931/22).Należy podnieść, że powołany w zarzutach skargi kasacyjnej B. S.A. W Warszawie oznaczonych jako 1. i 2., w ramach drugiej podstawy kasacyjnej, art. 145 § 1 pkt 1 lit. c p.p.s.a. nie miał w sprawie zastosowania, bowiem Sąd pierwszej instancji oddalił skargi, orzekał zatem w oparciu o art. 151 p.p.s.a.W odniesieniu do powyższych zarzutów, koncentrujących się wokół braków w zakresie postępowania wyjaśniającego należy wskazać, że w ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego należy odnieść do zakresu wynikającego z materialnoprawnej podstawy rozstrzygnięcia. Innymi słowy organ nie ma obowiązku ustalania faktów niemających znaczenia dla rozstrzygnięcia sprawy. W ocenie Naczelnego Sądu Administracyjnego wszystkie istotne z punktu widzenia podstawy materialnoprawnej rozstrzygnięcia fakty zostały prawidłowo ustalone w postępowaniu wyjaśniającym. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy.W sprawie jest niesporne, że B. S.A. w [...] pozyskało dane osobowe M.M. w związku z zapytaniami kredytowymi, w wyniku których nie doszło do zawarcia umów. Niesporne jest również, że skarżący kasacyjnie był podmiotem uprawnionym do przetwarzania danych osobowych M.M. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe okoliczności nie były sporne, a jednocześnie to one determinowały zakres rozpoznania sprawy. Dlatego też twierdzenie skarżącego kasacyjnie, iż stan faktyczny został ustalony w sposób niepełny, jest błędna. Podnoszone w omawianych zarzutach skargi kasacyjnej okoliczności są irrelewantne z punktu widzenia rozstrzygnięcia niniejszej sprawy.Zdaniem Naczelnego Sądu Administracyjnego nie ma wątpliwości, że Prezes UODO dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy, co trafnie ocenił Sąd pierwszej instancji. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi zastrzeżeń oraz jest prawidłowa. Odmienna ocena w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 7b, art. 77 § 1 i art. 80 k.p.a. Organ zbadał istnienie interesu prawnego skarżącego kasacyjnie do przetwarzania danych osobowych M.M. i uznał, że w świetle obowiązujących przepisów prawa interes ten nie zachodził. Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych zawartych w zapytaniach kredytowych, bowiem to przetwarzanie danych było kwestionowane. Prezes UODO bezspornie posiada uprawnienie do dokonania oceny w tym przedmiocie na gruncie RODO, jako organ wyspecjalizowany. Zdaniem Naczelnego Sądu Administracyjnego prawidłowe jest stanowisko, że skoro nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych, o czym będzie jeszcze mowa niżej. Nie było podstaw do zwracania się przez organ do Komisji Nadzoru Finansowego w celu "dokładnego wyjaśnienia stanu prawnego" (skarga kasacyjna B. S.A. w [...]), o co postulowali skarżący.Z tych samych przyczyn nie są zasadne zarzuty oznaczone jako 1) i 2) podniesione w skardze kasacyjnej [...] Bank [...] S.A. [...].Należy też podnieść, że argumentem uzasadniającym odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym może być ukształtowanie się określonej linii orzeczniczej sądów administracyjnych.Nie jest zasadny także podniesiony w skardze kasacyjnej B. S.A. zarzut naruszenia art. 141 § 4 p.p.s.a. Zgodnie z powyższym przepisem uzasadnienie wyroku powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Powyższy przepis może stanowić samodzielną podstawę kasacyjną zasadniczo w dwóch przypadkach, a mianowicie, jeżeli uzasadnienie orzeczenia wojewódzkiego sądu administracyjnego sporządzone zostało w sposób uniemożliwiający przeprowadzenie jego kontroli przez Naczelny Sąd Administracyjny (por. np. wyroki NSA z: 18 kwietnia 2018 r., II FSK 1071/17; 18 kwietnia 2018 r., I OSK 1363/17; 20 grudnia 2017 r., II GSK 3998/17) oraz jeżeli uzasadnienie zaskarżonego wyroku nie zawiera stanowiska odnośnie do stanu faktycznego przyjętego za podstawę zaskarżonego rozstrzygnięcia (uchwała składu siedmiu sędziów NSA z dnia 15 lutego 2010 r., II FPS 8/09).Uzasadnienie kontrolowanego wyroku sądu administracyjnego pierwszej instancji, gdy chodzi o analizę przedstawionych w nim argumentów, nie uniemożliwia przeprowadzenia kontroli prawidłowości tego orzeczenia. Zawiera elementy wymagane art. 141 § 4 p.p.s.a., w tym stanowisko odnośnie do stanu faktycznego przyjętego za podstawę wyrokowania oraz wskazanie i wyjaśnienie podstawy prawnej, a mianowicie przepisów prawa stanowiących wzorce kontroli legalności zaskarżonego w rozpatrywanej sprawie działania organu administracji, a także ocenę wyrażającą się w braku ich naruszenia.Inną natomiast kwestią jest siła przekonywania zawartych w nim argumentów, co prowadzi z kolei do wniosku, że brak przekonania strony odnośnie do trafności rozstrzygnięcia sprawy, w tym do przyjętego kierunku wykładni i zastosowania prawa, czy też odnośnie do oceny zgromadzonego w sprawie materiału dowodowego, których rezultat nie koresponduje z oczekiwaniami strony, nie oznacza wadliwości uzasadnienia wyroku i to w stopniu mogącym mieć istotny wpływ na wynik sprawy. Fakt, że stanowisko zajęte przez sąd administracyjny pierwszej instancji jest odmienne od prezentowanego przez wnoszącego skargę kasacyjną nie oznacza, iż uzasadnienie zaskarżonego wyroku zawiera wady konstrukcyjne, nie poddaje się kontroli kasacyjnej, czy też, że jest wadliwe w stopniu uzasadniającym uchylenie wydanego w sprawie rozstrzygnięcia. Co więcej, również brak odniesienia się przez wojewódzki sąd administracyjny do niektórych zarzutów lub twierdzeń zawartych w skardze sam w sobie nie stanowi uchybienia skutkującego koniecznością uchylenia zaskarżonego wyroku, albowiem jest, czy też może nim być - to jest uchybieniem stanowiącym uzasadnioną podstawę uchylenia wyroku - pominięcie zarzutów i argumentów istotnych oraz - co istotne - wykazanie w skardze kasacyjnej takiego właśnie ich charakteru, a mianowicie, że należycie je oceniając oraz prawidłowo identyfikując z ich punktu widzenia istoty spornego w sprawie zagadnienia, sąd ten mógłby jednak inaczej orzec w sprawie (por. np. wyroki NSA z: 15 marca 2019 r., II GSK 850/17; 28 czerwca 2016 r., II GSK 358/15; 29 listopada 2023 r., III OSK 2765/22; 17 marca 2015 r., II GSK 271/14).Uwzględniając powyższe trzeba stwierdzić, że o wadliwości zaskarżonego wyroku nie sposób jest wnioskować na tej tylko podstawie, że kontrolując legalność zaskarżonego aktu sąd administracyjny uznał go za zgodny z prawem podzielając argumentację organu wydającego ten akt odnośnie do przyjętego w tymże akcie kierunku oraz sposobu załatwienia sprawy.Przechodząc do oceny zarzutów naruszenia prawa materialnego podniesionych w obu skargach kasacyjnych należy podnieść, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.Powyższe znalazło wyraz w art. 6 ust. 1 RODO, określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.Zgodnie z art. 105a ust. 1 u.P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz.U. z 2024 r., poz. 1497; dalej: "u.k.k."), a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności.W świetle ww. przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b. uprawnione było przetwarzanie danych osobowych M.M. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Należy jednak podkreślić, że w związku z zapytaniami kredytowymi z 7 marca 2020 r., 12 maja 2020 r. i 11 czerwca 2020 r. nie doszło do zawarcia umowy kredytowej, a powyższa okoliczność nie była kwestionowana w toku postępowania. Nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Nadto M.M. wniósł o zaprzestanie przetwarzania jego danych w związku z zapytaniami kredytowymi, w rezultacie których nie udzielono mu kredytu. Wobec tego należy zgodzić się ze stanowiskiem, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych M.M., które to przetwarzanie miało na celu - co wymaga raz jeszcze podkreślenia - ocenę zdolności kredytowej i analizę ryzyka kredytowego - przed zawarciem umowy. Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych przez skarżących kasacyjnie, to należało uznać, tak jak prawidłowo przyjął Prezes UODO, że ustał cel przetwarzania danych osobowych pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.Z ww. przepisów wynika, że przesłanki zawarte w art. 105a u.P.b. dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej (umowy pożyczki) z bankiem, jak miało to miejsce w sprawie, brak jest ustawowych przesłanek legalizujących przetwarzanie danych osobowych zawartych w zapytaniu kredytowym. Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego.Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy kredytowej. Dalsze przetwarzanie danych, uzyskanych wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zebrano. Na gruncie RODO niedopuszczalne jest - w takim stanie faktycznym, jak w sprawie, gdy nie zawarto umowy kredytowej - przetwarzanie danych osobowych "na przyszłość", w innych celach niż je zebrano, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań w odniesieniu do M.M.Odnosząc się do zarzutu naruszenia prawa materialnego, a to art. 70a ust. 1 u.P.b. należy wskazać, że zgodnie z tym przepisem banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie zaś z art. 70a ust. 2 u.P.b., wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej.Powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia wniosku o przedłożenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej. Z akt nie wynika, aby został złożony taki wniosek. M.M. zwrócił się natomiast o usunięcie danych osobowych związanych z zapytaniem kredytowym i w związku z odmową w tym zakresie podjął działania przed Prezesem UODO.Dodać również należy, że art. 70a u.P.b. nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust. 4 u.P.b.Nie może być więc mowy o tym, aby podstawę do dalszego przetwarzania danych osobowych M.M. stanowił art. 70a ust. 1 u.P.b. Omawiany zarzut skargi kasacyjnej nie jest zatem uzasadniony.Naczelny Sąd Administracyjny, odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit. f RODO, tym razem w nawiązaniu do wskazywanej przez skarżących kasacyjnie potrzeby przechowywania danych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy kredytowej, na wypadek ewentualnych przyszłych roszczeń wskazuje, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby wnioskodawca, który zażądał usunięcia danych w zakresie zapytania kredytowego, miał jakiekolwiek roszczenie na drodze cywilnoprawnej do strony skarżącej. Natomiast jednoznacznie zażądał usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do "dalszego" przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano - i nie wynika to też ze skarg - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych w zakresie zapytań kredytowych i z którym nie zawarto umowy kredytowej.Ważąc zatem interesy M.M., który zażądał respektowania jego praw do ochrony danych osobowych, wynikających z RODO, oraz interesy strony skarżących kasacyjnie, w sytuacji, gdy nie zawarto z M.M. umowy kredytowej, należało uznać, że brak było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO.Sąd w składzie rozpoznającym sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA: z 27 marca 2018 r., I OSK 1459/16 i z 1 października 2025 r., III OSK 872/22). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych - w sytuacji, gdy mowa o danych osoby, z którą nie zawarto umowy kredytowej czy umowy pożyczki, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania.Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a bankiem, jak również pomiędzy tą osobą a stroną skarżącą, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie strony skarżącej kasacyjnie w "dalszym" przetwarzaniu danych tej osoby.Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane mimo nie zawarcia umowy kredytowej (czy umowy pożyczki) (por. motyw 47 RODO). Jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności, czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności.Pamiętać trzeba również, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość", po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem.W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy, ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego co niezbędne do ich osiągnięcia, w których zostały zebrane (art. 5 ust. 1 lit. c RODO). Przetwarzanie "na przyszłość" danych zawartych w zapytaniach kredytowych, w sytuacji, gdy nie zawarto umowy kredytowej, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO.Przyjęcie odmiennej interpretacji prowadziłoby do tego, że wobec osoby, której dane zawarto w zapytaniu kredytowym i z którą nie zawarto umowy kredytowej, istniałaby dowolność, tak co do zasad przetwarzania jej danych osobowych, jak również co do przedstawienia innych celów przetwarzania, których nie ujawniono wprost przed pozyskaniem danych (innych niż ocena zdolności kredytowej i ryzyka kredytowego) oraz co do dowolnego ustalenia przez podmiot dysponujący danymi czasu przetwarzania danych z uwzględnieniem przyjmowanych celów, które służą określonym wymogom organu nadzoru nad rynkiem finansowym.Ponadto należy zauważyć, że nie brak jest w aktualnym stanie prawnym przepisów, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (t.j. Dz.U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje, odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów i nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41).Przyjęcie prezentowanego w skargach kasacyjnych stanowiska prowadziłoby do tego, że sytuacja osoby fizycznej, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej byłaby gorsza z punktu widzenia ochrony danych osobowych przewidzianych w RODO i odczytywanych łącznie z ww. przepisami u.P.b., niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, po wygaśnięciu zobowiązania wynikającego z danej umowy, do dalszego przetwarzania danych niezbędna byłaby zgoda osoby, której dane dotyczą, odwołalna w każdym czasie. Podmiot, który zażądał usunięcia swoich danych osobowych, byłby pozbawiony ochrony, choć przetwarzano jego dane w celu, który nie jest ściśle związany z konkretną czynnością, w związku z którą uzyskano i przetwarzano dane. Zdaniem Naczelnego Sądu Administracyjnego chcąc realizować obowiązki nałożone przez instytucje nadzorcze w zakresie prowadzonej działalności, a jednocześnie chcąc przetwarzać dane osobowe konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych (dane osoby, która w związku z zapytaniem kredytowym stanowiącym podstawę do zebrania i przetwarzania danych, nie uzyskała kredytu) należy przestrzegać przepisów RODO w zakresie "dalszego" przetwarzania, które nie wiąże się z oceną zdolności kredytowej i analizą ryzyka. Naczelny Sąd Administracyjny podziela bowiem prezentowane w orzecznictwie poglądy, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia tej umowy, pozostawałoby w oderwaniu od celu, dla którego uzyskano i przetwarzano dane osobowe osoby fizycznej. Tym samym niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019 r. , I OSK 2567/17).Mając na uwadze, że zarzuty skarg kasacyjnych okazały się nieuzasadnione, Naczelny Sąd Administracyjny na podstawie art. 184 p.p.s.a. oddalił skargi kasacyjne.O kosztach postępowania kasacyjnego od skarżących kasacyjnie na rzecz organu orzeczono zgodnie z zasadą odpowiedzialności za wynik postępowania, na zasadzie art. 204 pkt 1 p.p.s.a., w związku z art. 205 § 2 p.p.s.a..