Wyrok - III OSK 2241/23 - Naczelny Sąd Administracyjny - z dnia 17 czerwca 2026
Teza
Oddalono skargę kasacyjną. Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Artur Kuś sędzia NSA Przemysław Szustakiewicz sędzia delegowany WSA Kazimierz Bandarzewski (sprawozdawca) Protokolant starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 17 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 maja 2023 r. sygn. akt II SA/Wa 1260/22 w sprawie ze skargi D. C. na pkt 2 decyzOddalono skargę kasacyjną. Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Artur Kuś sędzia NSA Przemysław Szustakiewicz sędzia delegowany WSA Kazimierz Bandarzewski (sprawozdawca) Protokolant starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 17 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 maja 2023 r. sygn. akt II SA/Wa 1260/22 w sprawie ze skargi D. C. na pkt 2 decyz
Najważniejsze informacje
W skrócie
Wynik
oddalono skargę
Typ sprawy
sprawa nieprocesowa
Etap
skarga kasacyjna
Tryb
rozprawa
Role w sprawie
ubezpieczyciel
dłużnik egzekucyjny
wnioskodawca / wnioskodawczyni
apelujący / skarżący
wnioskodawca
Data orzeczenia
17 czerwca 2026
Sąd
Naczelny Sąd Administracyjny
Przewodniczący
Artur Kuś
Rozstrzygnięcie
Oddalono skargę kasacyjną
UZASADNIENIE
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 10 maja 2023 r. sygn. akt II SA/Wa 1260/22 po rozpoznaniu skargi D. C. (dalej "skarżąca") na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych (dalej "Prezes UODO" lub "organ") z dnia 23 maja 2022 r. nr ZSPR.440.1954.2019.FT.RR w przedmiocie przetwarzania danych osobowych, uchylił pkt 2 zaskarżonej decyzji.Zaskarżoną do sądu administracyjnego decyzją, na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 z późn. zm.), zwanej dalej "K.p.a.", oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO" - wobec skargi. D. C., na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank [...] S.A., zwany dalej "Bankiem", polegające na udostępnieniu danych osobowych do B. S.A. (dalej jako "B."), bez podstawy prawnej: udzielono upomnienia za naruszenie art 6 ust 1 RODO, polegające na udostępnieniu danych osobowych skarżącej do Biura w zakresie nieprawidłowej daty zawarcia umowy, dotyczącej rachunku karty nr [...] (dalej jako "Karta") - w terminie od 19 lipca 2019 r. do 30 czerwca 2020 r. - bez podstawy prawnej (w pkt 1), odmówiono uwzględnienia wniosku w pozostałym zakresie (w pkt 2).Sąd pierwszej instancji stwierdził, że Bank przetwarza dane osobowe skarżącej przez przekazanie do B. informacji o nieuregulowanych należnościach, co do których wydano kiedyś bankowy tytuł wykonawczy lecz dochodzenie roszczeń uległo przedawnieniu, co potwierdza stosowne prawomocne orzeczenie Sądu z dnia 6 lutego 2015 roku (sygn. akt IC 141/15). Chodzi więc o tzw. zobowiązania naturalne. Jak wywodził Bank, skoro należności nie wygasają, nie ma końcowego terminu przetwarzania danych skarżącej, która wciąż pozostaje w zwłoce. Wedle wyjaśnień Banku, dane skarżącej nie są przetwarzane dla celu ewentualnego zaspokojenia roszczeń w przyszłości, natomiast celem przetwarzania danych osobowych jest m.in. udostępnienie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego skarżącej.Uwzględniając skargę, choć nie z przyczyn w niej podanych, Sąd pierwszej instancji wskazał, że Prezes UODO wprawdzie trafnie przywołał regulacje art. 6 ust. 1 lit. f, w szczególności wobec treści normatywnej art. 5 ust. 1 lit. c RODO przy uwzględnieniu art. 105c ust. 5 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2021 r. poz. 2439 z późn. zm.), jednak z ich treści nie wywiódł stosownych wniosków w realiach rozpatrywanej sprawy.W ocenie Sądu pierwszej instancji wobec ww. ram prawnych, gdy dopuszczalne jest przetwarzanie danych osobowych, nie sposób uznać, aby opisane działanie Banku można było określić jako "prawnie uzasadnione interesem administratora", przy uwzględnieniu słusznego interesu skarżącej. W istocie wprawdzie przetwarzanie danych o osobach, które nie regulują swoich zobowiązań wobec banków, ma racjonalne uzasadnienie w kontekście ochrony bezpieczeństwa systemu bankowego - oceny zdolności kredytowej i analizy ryzyka kredytowego. Określone zdarzenie - w postaci nieuregulowania zależności - ma jednak znaczenie w kontekście oceny wiarygodności klienta wyłącznie, gdy należność jest ściągalna a później tylko przez pewien czas (ryzyko nieodpowiedzialnych zachowań kredytobiorcy). Dał temu zresztą wyraz prawodawca regulując między innymi zasady przetwarzania danych osób, które nie spłacały terminowo należności, w art. 105a ust. 5 ustawy - Prawo bankowe. Przepis ten nie znajduje wprawdzie w danym przypadku zastosowania wprost - na co wskazuje Bank - wobec niewystąpienia przesłanki wskazanej tym przepisem - wygaśnięcia zobowiązania. Nie sposób jednak stąd wywodzić, aby wobec osób, które nie uregulowały należności, nawet gdy są one nieściągalne (przedawnienie roszczeń), można było przetwarzać nieskończenie długo w zewnętrznie dostępnych bazach dane osobowe tych dłużników. Tymczasem taką, prezentowaną przez Bank koncepcję, zaakceptował wyspecjalizowany w zakresie ochrony danych osobowych organ.Sąd pierwszej instancji podkreślił, że uznając za dopuszczalne dowolnie długie przetwarzanie danych osobowych klienta banku wobec występowania względem niego nieściągalnych należności, Prezes UODO uchybił regule wyrażonej w art. 6 ust. 1 lit. f RODO. Przepisy prawa materialnego nie determinują wprawdzie w danym przypadku okresów przetwarzania danych osobowych byłych dłużników, nie zwalnia to jednak administratorów danych - w świetle reguły art. 6 ust. 1 lit. f RODO, z uwzględnieniem powołanej już zasady minimalizacji danych (art. 5 ust. 1 lit. c RODO) - z powinności ustalenia dla swoich uzasadnionych potrzeb - przy wzięciu pod uwagę słusznego interesu dłużnika - racjonalnych terminów przetwarzania tych danych oraz ich uwzględniania w bieżącej działalności - w ramach aktualizacji informacji przekazywanych do Biura. Nie czyniąc tego Bank uchybił swoim powinnościom, czego nie uwzględnił organ rozpoznający sprawę. Prowadziło to do odmowy uwzględnienia wniosku w pozostałym zakresie (pkt 2 decyzji).Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniósł Prezes UODO, zaskarżając go w całości.Zaskarżonemu orzeczeniu zarzucono na podstawie art. 174 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 775 z późn. zm.) - dalej jako P.p.s.a., naruszenie -prawa materialnego, tj. art. 6 ust. 1 lit. f RODO, w zw. z art. 105a ust. 1 ustawy - Prawo bankowe, poprzez błędną jego wykładnię polegającą na stwierdzeniu, że dochodzenie przedawnionego roszczenia przez bank nie stanowi jego prawnie uzasadnionego interesu, będącego interesem nadrzędnym nad interesami lub prawami i wolnościami osoby, której dane dotyczą i będącej dłużnikiem, wymagającymi ochrony danych osobowych, podczas gdy prawidłowa wykładnia tych przepisów prowadzi do uznania, że istnienie przedawnionego roszczenia stanowi podstawę do przetwarzania przez bank danych osobowych dłużnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w oparciu o art. 105a ust. 1 Prawa bankowego, co tym samym przesądza o niezbędności przetwarzania danych dłużnika w celu realizacji prawnie uzasadnionego interesu banku, o którym mowa w art. 6 ust. 1 lit. f RODO.W oparciu o powyższe zarzuty w skardze kasacyjnej wniesiono 1) na podstawie art. 188 P.p.s.a o uchylenie w całości zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie, w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, ewentualnie 2) na podstawie art. 185 § 1 P.p.s.a. o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, 3) na podstawie art. 176 § 2 P.p.s.a. o rozpoznanie przedstawionej skargi kasacyjnej na rozprawie, 4) o zasądzenie zwrotu kosztów postępowania, w tym zastępstwa procesowego, na rzecz organu według norm przepisanych.Odpowiedzi na skargę kasacyjną nie wniesiono.Naczelny Sąd Administracyjny zważył, co następuje:Zgodnie z art. 183 § 1 P.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 P.p.s.a. oraz przesłanki uzasadniające odrzucenie skargi bądź umorzenie postępowania przed wojewódzkim sądem administracyjnym, stosownie do treści art. 189 P.p.s.a. Żadna z powyższych przesłanek w tej sprawie nie zaistniała.Rozpoznając sprawę Naczelny Sąd Administracyjny związany jest granicami skargi. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pełnego składu z 26 października 2009 r. sygn. akt I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1).Zgodnie z art. 174 P.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.Stosownie do treści art. 176 P.p.s.a. strona skarżąca kasacyjnie ma obowiązek przytoczyć podstawy skargi kasacyjnej wnoszonej od wyroku Sądu pierwszej instancji i szczegółowo je uzasadnić wskazując, które przepisy ustawy zostały naruszone, na czym to naruszenie polegało i jaki miało wpływ na wynik sprawy. Rola Naczelnego Sądu Administracyjnego w postępowaniu kasacyjnym ogranicza się do skontrolowania i zweryfikowania zarzutów wnoszącego skargę kasacyjną.Skarga kasacyjna nie jest zasadna.Mimo wskazania w jedynym zarzucie skargi kasacyjnej dokonania przez Sąd pierwszej instancji błędnej wykładni dwóch przepisów prawa materialnego, to istota sporu w tej sprawie dotyczy wykładni art. 6 ust. 1 lit. f RODO.W ocenie strony skarżącej kasacyjnie Sąd pierwszej instancji dokonał błędnej wykładni ww. przepisu poprzez stwierdzenie, że dochodzenie przedawnionego roszczenia przez bank nie stanowi jego prawnie uzasadnionego interesu, będącego interesem nadrzędnym nad interesami lub prawami i wolnościami dłużnika czyli osoby, której dane dotyczą i która wymaga ochrony danych osobowych, podczas gdy prawidłowa wykładnia tego przepisu powinna prowadzić do uznania, że istnienie przedawnionego roszczenia stanowi podstawę do przetwarzania przez bank danych osobowych dłużnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w oparciu o art. 105a ust. 1 Prawa bankowego, co tym samym przesądza o niezbędności przetwarzania danych dłużnika w celu realizacji prawnie uzasadnionego interesu banku, o którym mowa w art. 6 ust. 1 lit. f RODO.Zgodnie z art. 6 ust. 1 lit. f RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadku, gdy przetwarzanie danych osobowych jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.Podstawą do przetwarzania danych osobowych jest istnienie po stronie administratora (lub osoby trzeciej) prawnie uzasadnionego interesu. Z orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej (np. wyrok z 4 lipca 2023 r., sprawa C-252/21, Meta przeciwko Bundeskartellamt (ECLI:EU:C:2023:537), pkt 106; wyrok z 11 grudnia 2019 r., sprawa C-708/18, Asociaţia de Proprietari bloc M5A-ScaraA (ECLI:EU:C:2019:1064), pkt 40) wynika, że przetwarzanie danych osobowych tylko wtedy następuje na podstawie prawnie uzasadnionego interesu administratora (osoby trzeciej), jeżeli łącznie spełnione są trzy warunki: 1) przetwarzanie tych danych zmierza do realizacji uzasadnionego interesu administratora lub osoby trzeciej; 2) istnieje konieczność przetwarzania danych osobowych w celu realizacji uzasadnionego interesu (tzn. przetwarzanie danych osobowych musi być "konieczne" do osiągniecia tych celów); 3) interesy lub podstawowe wolności i prawa zainteresowanych podmiotów danych nie mają pierwszeństwa przed uzasadnionym interesem administratora lub osoby trzeciej.Wykładnia art. 6 ust. 1 lit. f RODO stanowi jedną z bardziej zawiłych materii prawa unijnego i doczekała się wytycznych nr 1/2024 dotyczących przetwarzania danych osobowych na podstawie art. 6(1)(f) RODO. Wersja 1.0. 8 października 2024 r. (za https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202401_legitimateinterest_en.pdf). Wprawdzie wytyczne te nie są prawem bezpośrednio obowiązującym, tym niemniej należy je uwzględniać przy dokonywaniu wykładni ww. art. 6 ust. 1 lit. f RODO. Zgodnie z tą wykładnią opartą na orzecznictwie Trybunału Sprawiedliwości UE nie wszystkie interesy administratora (lub osoby trzeciej) umożliwiają skuteczne powoływanie się na art. 6 ust. 1 lit. f RODO. Pierwszym krokiem przy ocenie zasadności stosowania przez administratora ww. przepisu powinno być ustalenie, czy interes prowadzony przez administratora może być uznany za "uzasadniony" (TSUE, wyrok z 7 grudnia 2023, połączone sprawy C-26/22 i C-64/22, SCHUFA Holding (Libération de reliquat de dette) (ECLI:EU:C:2023:958), akapit 75). Interes ten jest uzasadniony, jeżeli spełnione są łącznie następujące przesłanki: 1) interes ten jest zgodny z prawem, tzn. nie jest sprzeczny z prawem UE ani państwa członkowskiego; 2) interes ten jest jasno i precyzyjnie wyrażony, przy czym zakres uzasadnionego interesu musi być jasno określony, aby zapewnić właściwą równowagę wobec interesów lub podstawowych praw i wolności podmiotu danych; 3) interes jest realny i aktualny, a nie spekulacyjny. Ponadto jako wyjaśnił to TSUE, uzasadniony interes musi być obecny i obowiązujący w dniu przetwarzania danych i nie może być hipotetyczny w tym momencie (TSUE, wyrok z 11 grudnia 2019, sprawa C‑708/18, Asociaţia de Proprietari bloc M5A-ScaraA (ECLI:EU:C:2019:1064), akapit 44). Jako przykład prawnie uzasadnionego interesu wskazuje się ustanowienie lub wykonywanie roszczeń prawnych (TSUE, wyrok z 4 maja 2017, sprawa C‑13/16, Rīgas satiksme (EU:C:2017:336), akapit 29). Jeżeli administrator we własnym interesie lub interesie osoby trzeciej przetwarza dane osobowe celem np. dochodzenia odszkodowania od danej osoby lub celem wniesienia powództwa przeciwko tej osobie, to jest to uzasadniony interes.W tej sprawie w ocenie strony skarżącej kasacyjnie prawnie uzasadnionym interesem banku jest możliwość uzyskania świadczenia od wnioskodawczyni jako dłużnika. Wprost wskazuje się, że wprawdzie nastąpiło przedawnienie roszczeń banku do tej osoby i dotychczas istniejące zobowiązanie przekształciło się w zobowiązanie naturalne, to jednak zobowiązanie to nadal istnieje i podmiot którego dotyczą przetwarzane dane osobowe może dobrowolnie spełnić świadczenie. Samo przedawnienie jedynie pozbawia wierzyciela możliwości doprowadzenia do przymusowego wykonania zobowiązania w drodze np. egzekucji. Dłużnik może jednak także po zaistnieniu stanu przedawnienia swoje świadczenie na rzecz wierzyciela spełnić i wówczas nie będzie to nienależne świadczenie. Po stronie banku jako wierzyciela pozostają pozasądowe możliwości podejmowania działań windykacyjnych i jako jeden z tych pozasądowych sposobów działań wskazuje się na dalsze przetwarzanie danych osobowych dłużnika celem w istocie przymuszenia tej osoby do wykonania przedawnionego zobowiązania, ponieważ każde zobowiązanie należy spłacić, a dłużnik musi mieć świadomość negatywnych konsekwencji wynikających z niewykonania ze swojej strony umowy.Poza kontrolą sądu administracyjnego są wszelkie oceny dotyczące zawartej w dniu 7.01.2004 r. umowy nr [...] umowy o limit karty kredytowej między klientką banku B.1 S.A., a samym tym bankiem, jak i sposobu rozwiązania tej umowy oraz przesłanek na podstawie których roszczenia z tej umowy przedawniły się. Nie budzi wątpliwości w tej sprawie, że od 2015 r. roku (wyrok Sądu Rejonowego z 6 lutego 2015 r. sygn. akt I C 141/15) roszczenia banku uległy przedawnieniu.Bez wątpienia w momencie zawierania ww. umowy między bankiem a klientką, bank miał prawo do przetwarzania danych osobowych tej osoby i interes banku lub administratora danych dotyczył zarówno oceny jej zdolności kredytowej, jak i zabezpieczenia się w zakresie realizacji samej umowy. Dotyczy to nie tylko okresu obowiązywania umowy, ale także i okresu w którym nastąpiło jej rozwiązanie a każda ze stron mogła podnosić stosowne roszczenia z nią związane celem ich dochodzenia. Tym samym po stronie banku niewątpliwie istniał zgodny z prawem interes dotyczący przetwarzania danych klientki w związku z zawartą z nią umową nr [...] o limit karty kredytowej B,1 S.A. z 7.01.2004 r. Przetwarzanie danych osobowych związanych z tak zawartą umową dotyczyło samej umowy i możliwości egzekwowania wynikających z niej praw. Do chwili przedawnienia roszczeń z tej umowy interes prawny banku i administratora w zakresie przetwarzania jej danych osobowych był realny, aktualny, zgodny z prawem i jasno określony.Sprawa ta nie dotyczy jednak przetwarzania danych osobowych w okresie obowiązywania umowy lub przed przedawnieniem roszczeń z tej umowy, ale okresu po przedawnieniu tych roszczeń. Administrator uznał bowiem, że zarówno jego uzasadniony interes jak i interes osoby trzeciej (banku) uzasadnia nie tylko przetwarzanie danych osobowych dłużniczki celem pozasądowego domagania się spełnienia z jej strony świadczenia, ale także dalsze wykorzystywanie tych danych w celu faktycznego przymuszenia do realizacji zobowiązania i to bez żadnego doprecyzowania, że osoba ta jest dłużniczką w zakresie zobowiązania, które się przedawniło. Temu ma służyć ciągłe przetwarzanie po dacie przedawnienia danych osobowych klientki banku w takim zakresie, w jakim dotyczy oceny zdolności kredytowej i ryzyka kredytowego wynikających z przedawnionych roszczeń związanych z ww. umową z 7 stycznia 2007 r. Nastąpiła więc zmiana celu gromadzenia danych osobowych. O ile w chwili zawierania umowy o limit karty kredytowej i w okresie możliwości wnoszenia nieprzedawnionych roszczeń przed właściwym sądem przetwarzanie tych danych służyło realizacji tej umowy, o tyle po tej dacie celem przetwarzania danych w tej sprawie było przedstawianie klientki jako osoby pozostającej w ciągłym zadłużeniu wobec banku a tym samym niewiarygodnej (lub znacząco mniej wiarygodnej) w zakresie oceny jej zdolności kredytowej i ryzyka spłacania zobowiązań pożyczkowych lub kredytowych. Faktem notoryjnym jest zaś częste lub bardzo częste korzystanie z usług banków, a wówczas przy ocenie zdolności kredytowej danej osoby przedawnione zobowiązanie będzie wykazywane jako istniejące i utrudniające jej korzystanie tych usług. W takiej sytuacji interesem administratora jest takie utrudnienie funkcjonowania klientki, aby poprzez przetwarzanie jej danych osobowych utwierdzić inne banki lub instytucje finansowe w przekonaniu, że jej zdolność kredytowa jest znacząco mniejsza bez wskazania, że dotyczy to jedynie przedawnionego zobowiązania. Przetwarzanie danych osobowych stało się formą pozasądowego przymuszenia do wykonania przedawnionego zobowiązania. Dane osobowe przetwarzane na podstawie art. 6 ust. 1 lit. f RODO nie stanowią części zobowiązania jako stosunku prawnego i ich przetwarzanie nie jest objęte treścią stosunku zobowiązaniowego.Jednym z ww. warunków przetwarzania danych osobowych jest spełnienie kryterium konieczności ich przetwarzania celu realizacji uzasadnionego interesu (tzn. przetwarzanie danych osobowych musi być "konieczne" do osiągniecia tych celów). W tej sprawie nie została przeprowadzona ocena konieczności przetwarzania danych osobowych w celu realizacji uzasadnionego interesu banku. Nie ceniono, czy interesy banku dotyczące wykonania świadczenia z przedawnionego zobowiązania nie mogą być osiągnięte innymi mniej restrykcyjnymi środkami wobec praw samej dłużniczki. Nie rozważono także, czy interesy lub podstawowe wolności i prawa zainteresowanego podmiotu nie mają pierwszeństwa przed uzasadnionym interesem administratora lub osoby trzeciej. W szczególności nie rozważono, jaki wpływ na funkcjonowanie dłużniczki będzie miało przetwarzanie danych osobowych w związku z umową nr [...] z 7.01.2004 r. i jakie będą konsekwencje tego przetwarzania. Bez wątpliwości można stwierdzić, że takie przetwarzanie danych, o jakie zabiega administrator, będzie miało negatywny wpływ na możliwość korzystania z szeregu różnorodnych usług bankowych lub też warunki korzystania z nich będą dla samej wnioskodawczyni gorsze w porównaniu z innymi osobami.To zaś pokazuje, że celem przetwarzania danych w tej sprawie było stworzenie dla strony sytuacji znacząco trudnej w zakresie korzystania z usług bankowych lub jakichkolwiek innych usług finansowych, w ramach których będą wykorzystywane dane w tym zakresie (np. zakup na raty towaru w sklepie) tylko po to, aby zmusić stronę do wykonania przedawnionego świadczenia.Zgodnie z motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Ponadto zgodnie z tym akapitem "(...) Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. (...)".Osoba, wobec której sąd cywilny orzekł o przedawnieniu roszczeń wierzyciela może oczekiwać, że jej dane osobowe dotyczące przedawnionego zobowiązania nie będą dalej przetwarzane na tych samych zasadach, jak dane dotyczące każdego innego nieprzedawnionego zobowiązania. O ile można stwierdzić, że strona umowy z bankiem w okresie ważności umowy zawartej z bankiem lub w okresie, w którym zobowiązanie wynikające z tej umowy może być dochodzone przed sądem w razie jego niewykonywania, nie powinna oczekiwać usunięcia jej danych osobowych dotyczących takiego zobowiązania, o tyle w przypadku przedawnienia zobowiązania taka osoba może oczekiwać, że skoro bank jako wierzyciel nie może skutecznie domagać się realizacji zobowiązań z tak przedawnionego stosunku prawnego, to także w tym zakresie co najwyżej będzie przetwarzał dane osobowe tylko na potrzeby tego zobowiązania z wyraźnym zastrzeżeniem, że nastąpiło przedawnienie roszczeń banku z tego zobowiązania. Bez takich zastrzeżeń lub ograniczenia danych osobowych w tej sprawie tylko do przedawnionego zobowiązania wnioskodawczyni mogła oczekiwać braku dalszego ich przetwarzania.Mogą zdarzyć się sytuacje, w których w podobnych przypadkach będzie występował po stronie banku lub administratora uzasadniony interes przetwarzania danych osobowych. Przykładowo z motywu 47 RODO wynika, że prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Jednak z tej sprawy nie wynika, aby taka sytuacja miała miejsce.Mając powyższe należy stwierdzić, że zarzut dokonania przez Sąd pierwszej instancji błędnej wykładni art. 6 ust. 1 lit. f RODO nie jest zasadny.Ponadto w orzecznictwie sądów administracyjnych (por. wyrok NSA z 1 października 2025 r. sygn. akt III OSK 872/22; wyrok NSA z 13 listopada 2025 r. sygn. akt III OSK 2636/22) podnosi się, że istnieją w aktualnym stanie prawnym przepisy, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu wskazuje się na art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz. U. z 2025 r. poz. 1526), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów. Nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi - według jego wiedzy - do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41).Także zarzut dokonania błędnej wykładni art. 105a ust. 1 Prawa bankowego nie jest zasadny, tylko bowiem ten przepis został wskazany w zarzucie skargi kasacyjnej. Zgodnie z jego treścią przetwarzanie przez banki oraz inne instytucje finansowe opisane w jego treści informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.Uzasadniając naruszenie tego przepisu w drodze jego błędnej wykładni strona skarżąca kasacyjnie powołała się na pogląd zawarty w wyroku NSA z 4.12.2015 r. sygn. akt I OSK 599/14.Zgodnie z art. 5 pkt 16 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim pod pojęciem oceny zdolności kredytowej należy rozumieć ocenę zdolności konsumenta do spłaty zaciągniętego kredytu wraz z odsetkami, w terminach określonych w umowie o kredyt konsumencki, dokonywaną przez kredytodawcę. Jest to więc ocena, czy istnieje i ewentualnie w jakim zakresie prawdopodobieństwo, że konsument nie spłaci uzyskanego kredytu w terminie. Brak rozróżnienia pomiędzy zobowiązaniem klienta przedawnionym wobec banku a zobowiązaniem, które nie zostało przedawnione niewątpliwie ma istotny wpływ na ocenę zdolności kredytowej. Nie można przenosić całego ryzyka działalności gospodarczej w zakresie bankowości na klienta. Jeżeli bank np. spóźnił się z dochodzeniem swoich roszczeń, to nie może poprzez przetwarzanie danych osobowych ujawniać takiego klienta jako nie spłacającego cały czas narastającego długu na takich samych zasadach jak inny klient, który ma ważnie zawartą umowę i w ramach której nie wywiązuje się ze swoich zobowiązań. Prowadzi to do sytuacji, w której ocena kredytowa może być całkowicie inna od rzeczywistej oceny zdolności klienta do regulowania zobowiązań.Brak wyraźnego wskazania w zakresie przetwarzania danych osobowych klientki banku, że jej zobowiązanie jest już przedawnione i traktowanie go na tych samych zasadach jak zobowiązania nieprzedawnione, nie stanowiło w tej sprawie uzasadnionego interesu zarówno banku, jak i administratora w rozumieniu art. 6 ust. 1 lit. f RODO. Nie zasługuje na ochronę przetwarzanie danych osobowych stwierdzających nieaktualny, a więc i nierzeczywisty stan.Mając powyższe na uwadze w ocenie Naczelnego Sądu Administracyjnego zaskarżony wyrok odpowiada prawu, a tym samym skarga kasacyjna podlega na podstawie art. 184 P.p.s.a. oddaleniu.. oddaleniu.