III OSK 2513/22

Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Sławomir Wojciechowski Sędziowie: sędzia NSA Mirosław Wincenciak sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant starszy asystent sędziego Dawid Piaskowski po rozpoznaniu w dniu 13 listopada 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 lipca 2022 r. sygn. akt II SA/Wa 3467/21 w sprawie ze skarg Biura [...] oraz [...] Banku [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 22 lipca 2021 r. nr ZSPR.440.1498.2018.FT.RR.132656,132651,132653 w przedmiocie przetwarzania danych osobowych 1. prostuje oczywistą omyłkę pisarską w komparycji wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 lipca 2022 r., sygn. akt II SA/Wa 3467/21, w ten sposób, że w miejsce numeru zaskarżonej decyzji "ZSPR.440.1498.2018.FT.RR." wpisuje "ZSPR.440.1498.2018.FT.RR.132656,132651,132653"; 2. uchyla zaskarżony wyrok i oddala skargi; 3. zasądza na rzecz Prezesa Urzędu Ochrony Danych Osobowych od Biura [...] oraz [...] Banku [...] z siedzibą w [...] kwoty po 290 (dwieście dziewięćdziesiąt) złotych od każdego z nich, tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 7 lipca 2022 r., sygn. akt II SA/Wa 3467/21, po rozpoznaniu skarg B. [...] oraz [...] Banku [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 22 lipca 2021 r. nr "ZSPR.440.1498.2018.FT.RR", w przedmiocie przetwarzania danych osobowych: uchylił zaskarżoną decyzję (pkt 1); zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz B. [...] kwotę 697 zł tytułem zwrotu kosztów postępowania (pkt 2); zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Banku [...] kwotę 697 zł tytułem zwrotu kosztów postępowania (pkt 3). Wyrok wydany został w następującym stanie faktycznym i prawnym. K.K. (dalej: "wnioskodawczyni"), pismem z dnia 4 października 2018 r. wystąpiła do [...] Bank [...] z żądaniem trwałego usunięcia danych wpisanych na jej profilu B. [...] (dalej: "B. S.A."), związanych z zapytaniem kredytowym z 6 czerwca 2018 r. Obie instytucje odmówiły wnioskodawczyni uwzględnienia wniosku, powołując się na art. 105 ust. 4 – 4i ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (t.j. Dz.U. z 2020 r., poz. 1896 ze zm.; dalej: "u.P.b."). Wobec powyższego wnioskodawczyni pismem z dnia 29 października 2018 r. złożyła do Banku reklamację. Jednocześnie 29 października 2018 r. K.K. wystosowała skargę do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" lub "organ") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank, polegające na udostępnieniu danych osobowych do B. S.A. i odmowie usunięcia zapytania kredytowego z dnia 6 czerwca 2018 r. przetwarzanego przez B. S.A. Decyzją z dnia 22 lipca 2021 r., nr ZSPR.440.1498.2018.FT.RR.132656,132651,132653, Prezes UODO przywołując art. 5 ust. 1 lit. b i c, art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L. nr 119. str. 1, ze zm., dalej: "RODO"), uznał zasadność skargi K.K. na nieprawidłowości w procesie przetwarzania jej danych osobowych, polegające na udostępnieniu przez Bank danych osobowych skarżącej do B. oraz odmowie usunięcia zapytania kredytowego z 6 czerwca 2018 r., przetwarzanego przez B. nakazując: 1. Bankowi - usunięcie danych osobowych K.K. w zakresie zapytania kredytowego z 6 czerwca 2018 r. przetwarzanych przez B. 2. B. S.A. - usunięcie danych osobowych K.K. w zakresie zapytania przekazanego przez Bank. Uzasadniając swoje stanowisko Prezes UODO wskazał, że w trakcie prowadzonego postępowania administracyjnego Bank pismem z 9 stycznia 2019 r. poinformował organ, że przetwarza obecnie dane osobowe K.K. w związku z jej wnioskiem o kredyt hipoteczny z dnia 17 maja 2018 r. w celu oceny zdolności kredytowej i na podstawie art. 70 u.P.b., udostępnił B. dane osobowe wnioskodawczyni. Dane te będą przetwarzane przez Bank przez okres 6 lat na podstawie art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny (t.j. Dz.U. z 2020 r., poz. 1740 ze zm.; dalej: "k.c."). Dane pochodzące z zapytania kredytowego będą udostępniane przez B. bankom w raportach kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu dokonania indywidualnej oceny zdolności kredytowej K.K., po tym okresie nie będą udostępniane w tym celu. Bank zaznaczył również, że dane osobowe wnioskodawczyni są przez niego przetwarzane również do celów statystycznych i analiz, w tym do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, na podstawie art. 105a ust. 4 i 5 u.P.b. Pismem z 2 stycznia 2019 r. również B. złożył Prezesowi UODO wyjaśnienia wskazując, że na podstawie art. 105 ust. 4 u.P.b. przetwarza dane osobowe pochodzące z zapytania kredytowego wnioskodawczyni z dnia 6 czerwca 2018 r. przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej). W przypadku K.K. wyżej wymienione zapytania kredytowe nie są przetwarzane w tych celach, ze względu na upływ 12 miesięcy od dnia złożenia zapytań. B. S.A. będzie przetwarzał jej dane osobowe w związku ze złożonymi zapytaniami kredytowymi w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do B., w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych — do momentu przedawnienia potencjalnych roszczeń wynikających z zapytań oraz w celu wypełnienia obowiązku wynikającego z art. 15 RODO. Organ przypomniał, że K.K. w dniu 17 maja 2018 r. wystąpiła do Banku z wnioskiem o udzielenie kredytu, wobec czego Bank oraz B., na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 u.P.b., były uprawnione do przetwarzania danych osobowych wnioskodawczyni w celu oceny zdolności kredytowej. Prezes UODO zaznaczył jednak, że nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawczynią a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie jej danych osobowych przez Bank oraz B. Przesłanki zawarte w art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a wnioskodawczynią nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania jej danych osobowych. Organ podkreślił, że celem przetwarzania danych osobowych K.K. była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania jej danych osobowych został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu, dla którego dane te uzyskano. Jak wynika z orzecznictwa sądów administracyjnych niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Organ zaznaczył również, że skoro wnioskodawczyni pismem z "29 października 2018 r." (pierwotnie z 4 października 2018 r.) wycofała zgodę z 17 maja 2018 r. na udostępnienie jej danych osobowych do B. związanych z zapytaniem kredytowym z 6 czerwca 2018 r., to nie sposób uznać, że Bank nadal dysponował zgodą skarżącej w tym zakresie. Za podstawę przetwarzania danych osobowych wnioskodawczyni nie mogą być również uznane wskazane przez Bank cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Powołany przez Bank art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby. Wobec powyższych ustaleń organ uznał, że w rozpoznawanej sprawie nie zostały spełnione przesłanki wynikające z przepisów Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Organ nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych K.K. w oparciu o ww. podstawę prawną w powyższym celu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych nakazał zarówno Bankowi, jak i B., będącymi administratorami, usunięcie danych osobowych wnioskodawczyni przetwarzanych w związku ze złożonym zapytaniem kredytowym z dnia 6 czerwca 2018 r. Na powyższe rozstrzygnięcie Bank oraz B. złożyły skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, który w przywołanym powyżej wyroku z 7 lipca 2022 r., w oparciu o art. 145 § 1 pkt 1 lit. a i b ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r., poz. 329 ze zm.), uwzględnił je, uchylając zaskarżoną decyzję (pkt 1) oraz zasądzając na rzecz skarżących od organu zwrot kosztów postępowania (pkt 2 i 3). Obie skargi/sprawy zostały na rozprawie 7 lipca 2022 r. połączone do łącznego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygn. akt II SA/Wa 3467/21. W ocenie Sądu pierwszej instancji skargi zasługiwały na uwzględnienie, bowiem zaskarżoną decyzję wydano z naruszeniem przepisów prawa procesowego co do nakazu precyzyjnego konstruowania treści orzeczenia - aby po stronie obowiązanego podmiotu nie istniały wątpliwości dotyczące zakresu wynikających z danego aktu powinności (art. 107 § 1 pkt 3 wobec art. 104 § 2 k.p.a.). Jeżeli natomiast przyjąć, że z treści decyzji wynika dla Banku i B. S.A. obowiązek usunięcia wszelkich danych osobowych wnioskodawczyni, wobec konkretnego zapytania - co oznaczałoby w praktyce konieczność usunięcia danych o zdarzeniu identyfikowanym osobą wnioskodawcy - wydając tego rodzaju rozstrzygnięcie naruszono by przepisy prawa materialnego, zakreślające możliwość przetwarzania danych osobowych wobec prawnie uzasadnionych interesów administratorów (Banku i B.) oraz regulacje statuujące właściwość organu, wyspecjalizowanego w sprawach ochrony danych osobowych – w zakresie stosowania przezeń przepisów naprawczych. W pewnych aspektach sprawy też prawidłowo nie wyjaśniono, co stanowi o naruszeniu stosownych przepisów postępowania. Zdaniem Sądu pierwszej instancji osnowa skarżonego aktu jest nieprecyzyjna. Wynika zeń wyłącznie wobec jakiego zdarzenia - tu zapytania kredytowego z 6 czerwca 2018 r. - mają zostać usunięte dane K.K.. Nie wskazano zaś dokładnie, w jakim zakresie (wszelkim, węższym), przy przetwarzaniu, do jakich celów. W ocenie Sądu ma to z kolei kluczowe znaczenie w sprawie, wobec trafnie powołanych w skargach uwarunkowań formalno-prawnych przetwarzania danych osobowych, związanych z zapytaniami kredytowymi przez Bank i B. W ocenie Sądu pierwszej instancji, jeżeli nakazy wynikające z pkt 1 i 2 decyzji należy rozumieć jako powinność usunięcia wszelkich danych osobowych wnioskodawczyni wobec konkretnego zapytania, z wszelkich baz danych administratorów, oznaczałoby to brak po ich stronie jakiejkolwiek dokumentacji danego zdarzenia, które dla opisu musi być wszak oznaczone - powiązane - z konkretną osobą. Intencję, aby taki był skutek decyzji, można odczytywać także wobec treści uzasadnienia skarżonej decyzji, jak i stanowiska organu po wniesieniu skargi - w odpowiedzi na skargę i na rozprawie. W takiej sytuacji Sąd pierwszej instancji uznał za trafne zarzuty obu skarg, gdzie wywodzono, że uzasadniony interes administratora przemawiał za dalszym przetwarzaniem danych osobowych wnioskodawczyni, będących niejako niezbędnym znacznikiem identyfikującym zdarzenie - skierowania konkretnego zapytania przez Bank do B. i ewentualnego udzielenia nań odpowiedzi. Nie budzi wątpliwości trafność wywodów skarżących stron, gdzie wskazano, że informacje o określonym zdarzeniu mogą mieć istotne znaczenie zarówno w kontekście obowiązku informacyjnego, zakreślonego art. 70a u.P.b. (dla Banku), jak i wobec ewentualnych roszczeń, z którymi względem banków i B. mogą występować ich niedoszli klienci, w związku z domniemanymi nieprawidłowościami (np. błędne informacje z B. lub od Banku), w kontekście rozpatrywania ich wniosków kredytowych oraz ewentualnie negatywnymi ich następstwami z perspektywy ich interesów. Roszczenia mogą dotyczyć także domniemanych nieprawidłowości w zakresie przetwarzania danych osobowych wnioskujących o kredyt - na etapie procedury rozpoznawania ich wniosków. W tym kontekście nie do zaakceptowania jest przyjęta przez organ wąska wykładnia reguł u.P.b. – w szczególności sposobu rozumienia przezeń znaczenia regulacji art. 105a tego aktu jako przepisu generalnie wykluczającego przetwarzanie danych osobowych osób, z którymi banki nie były związane umową. Nie sposób przyjąć, aby przepis ten - gdzie wymieniono szereg szczegółowych przypadków przetwarzania danych osobowych klientów przez banki i inne instytucje finansowe - miał być rozumiany jako lex specialis – regulacja wyłączająca uprawnienia, wynikające z ogólnych reguł k.c. w kwestii przedawnienia roszczeń bądź je modyfikująca. Sąd pierwszej instancji nie zgodził się ze stanowiskiem Prezesa UODO, że uznanie, jakoby – wobec nie zawarcia umowy kredytu - obowiązkiem obu instytucji było usunięcie danych niedoszłego klienta, wyłączałoby w istocie możliwość ochrony przed jego roszczeniami jeszcze przed ich przedawnieniem. Mogłoby to prowadzić do istotnego ograniczenia praw samych klientów banków – np. wobec braku stosownej dokumentacji po stronie wyspecjalizowanych podmiotów rynku finansowego. Inaczej mówiąc, prezentowane przez organ rozumienie przepisów, dotyczących ram przetwarzania danych osobowych niedoszłych klientów banków, gdy nie zawarto umów, pozbawiałby obie strony praw, wynikających wprost z generalnych reguł prawa materialnego – Kodeksu cywilnego. Miałoby to wpływ na realia obrotu gospodarczego. Intencji wprowadzenia tak głębokiej modyfikacji w relacje między niedoszłymi kontrahentami - w kontekście sektora bankowego – nie sposób przypisać prawodawcy, wobec aktualnego brzmienia regulacji w danym zakresie. Musiałby ją wyrazić wprost. Konkludując Sąd pierwszej instancji wskazał, że już samo nieprecyzyjne sformułowanie sentencji decyzji, uniemożliwiające jednoznaczne określenie zakresu nałożonych obowiązków - skutkuje potrzebą wyeliminowania danego aktu z obrotu prawnego. Z kolei gdyby uznać, że intencją organu było wyłącznie nakazanie usunięcia danych osobowych wnioskodawczyni, jako dostępnych wobec zapytań - w ramach bieżącej oceny zdolności kredytowej czy ryzyka kredytowego wnioskodawczyni na potrzeby operacji bieżących Banku bądź innych banków przy wykorzystaniu zasobów B. – ocena takiego rozstrzygnięcia byłaby przedwczesna. Z uzasadnienia skarżonego aktu nie wynika bowiem, jakie ustalenia w danym zakresie poczynił organ. Czy mianowicie dane osobowe K.K. w związku zapytaniem kredytowym były nadal przetwarzane w danym celu na dzień orzekania w sprawie. Wobec wyjaśnień stron - sformułowanych w skargach oraz na rozprawie - może to budzić uzasadnione wątpliwości. Jeżeli było tak w istocie, nie ustalono z kolei precyzyjnie, czy przetwarzanie przez określony czas danych o zapytaniu (a więc także danych osobowych wnioskodawczyni) – dla celu oceny ryzyka kredytowego oraz zdolności kredytowej konkretnej osoby - pomimo nie zawarcia umowy, nie jest powinnością Banku czy B. wobec wymagań reguł ostrożnościowych, stanowionych na szczeblu prawodawstwa Unii Europejskiej. Z treści uzasadnienia nie wynika w szczególności, aby organ czynił stosowne ustalenie w danym zakresie, odnosząc wynikające powinności do uwarunkowań rozpoznawanej spraw. Zdaniem Sądu nie może być tu wystarczające samo powołanie reguły normatywnej art. 105a u.P.b. Nie mogłaby ona ograniczać wymagań, wynikających wprost i jednoznacznie z aktu ustanowionego na szczeblu Unii Europejskiej. W takim przypadku organ obowiązany byłby zastosować przepisy CRR wprost. W danym zakresie nie można więc także uznać sprawy za właściwie wyjaśnioną, co czyni zasadnym zarzuty naruszenia art. 7, 77 § 1 i art. 80 k.p.a., a w konsekwencji przemawia za koniecznością uchylenia zaskarżonej decyzji. Na powyższe orzeczenie Prezes UODO wywiódł skargę kasacyjną do Naczelnego Sądu Administracyjnego, zarzucając wyrokowi naruszenie: 1) przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, 77 § 1 i 80 k.p.a., poprzez niezasadne uznanie, że organ wydając uchyloną decyzję naruszył ww. przepisy postępowania i nie wyjaśnił sprawy w sposób właściwy, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji; 2) przepisów postępowania mające istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 107 § 1 pkt 5 k.p.a., poprzez niezasadne uznanie, że rozstrzygnięcie zawarte w sentencji uchylonej decyzji organu było nieprecyzyjne, podczas gdy sentencja decyzji została skonstruowana w sposób prawidłowy i niebudzący wątpliwości, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji; 3) przepisów prawa materialnego, tj. art. 70a u.P.b., poprzez jego błędną wykładnię polegającą na przyjęciu, że przesądza on o istnieniu prawnego interesu administratora jako podstawy przetwarzania danych osobowych, o której mowa w art. 6 ust. 1 lit. f RODO, a także brak uwzględnienia, że ww. przepis u.P.b. wszedł w życie dopiero po rozpoczęciu przetwarzania danych osobowych w zakresie kwestionowanego zapytania kredytowego z dnia 6 czerwca 2018 r., które nie zakończyło się zawarciem umowy kredytu, co miało istotne znaczenie dla wydania zaskarżonego wyroku; 4) przepisów prawa materialnego, tj. art. 6 ust. 1 lit. f RODO, polegające na jego nieprawidłowej wykładni, poprzez uznanie, że przetwarzanie danych osobowych na wypadek ewentualnych, przyszłych i niepewnych roszczeń stanowi prawnie uzasadniony interes administratora, o ile przetwarzanie to odbywa się w terminach przedawnienia roszczeń uregulowanych w k.c. Wobec powyższych zarzutów skarżący kasacyjnie wniósł na podstawie art. 188 p.p.s.a o uchylenie w całości zaskarżonego wyroku i oddalenie skarg Banku oraz B. w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, ewentualnie na podstawie art. 185 § 1 p.p.s.a. o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie. Jednocześnie wniósł o rozpoznanie skargi kasacyjnej na rozprawie oraz o zasądzenie zwrotu kosztów postępowania na rzecz organu według norm przepisanych. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. W odpowiedzi na skargę kasacyjną B. wniósł o jej oddalenie oraz zasądzenie od skarżącego na rzecz organu zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm prawem przepisanych. Zawnioskował również o rozpoznanie sprawy na rozprawie. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.). Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyroki NSA: z 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; z 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; z 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; z 17 lutego 2023 r., II GSK 1458/19; z 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyroki NSA: z 5 maja 2004 r., FSK 6/04, LEX nr 129933; z 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; z 29 listopada 2022 r., I OSK 931/22). Zasadny jest zarzut skargi kasacyjnej oznaczony jako 1), to jest zarzut naruszenia przez Sąd pierwszej instancji art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, 77 § 1 oraz art. 80 k.p.a. Należy przypomnieć, że w ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego nie powoduje, że strona jest zwolniona z realizacji tego obowiązku. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy. W uzasadnieniu Sądu pierwszej instancji brak jest w istocie wskazania luk w ustalonym stanie faktycznym, które mogłyby uzasadniać twierdzenie o braku realizacji zasady prawdy obiektywnej. W sprawie jest niesporne, że B. pozyskało dane osobowe wnioskodawczyni w związku z zapytaniem kredytowym z dnia 6 czerwca 2018 r., przekazanym przez Bank. Do zawarcia umowy kredytu nie doszło. Niesporne jest również, że [...] S.A. było podmiotem uprawnionym do przetwarzania danych osobowych K.K. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe okoliczności nie były sporne, a jednocześnie to one determinowały zakres rozpoznania sprawy. Dlatego też ocena Sądu pierwszej instancji, iż stan faktyczny został ustalony w sposób niepełny, jest błędna. Zdaniem Naczelnego Sądu Administracyjnego nie ma wątpliwości, że Prezes UODO dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi zastrzeżeń oraz jest prawidłowa. Odmienna ocena w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 § 1 i art. 80 k.p.a., czy też 107 § 1 pkt 5 k.p.a. Organ zbadał istnienie interesu prawnego Banku i B. do przetwarzania danych osobowych wnioskodawczyni i uznał, że w świetle obowiązujących przepisów prawa interes ten nie zachodził. Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych zawartych w zapytaniach kredytowych, zarówno przez Bank, jak i B. bowiem to przetwarzanie danych było kwestionowane. Prezes UODO bezspornie posiada uprawnienie do dokonania oceny w tym przedmiocie na gruncie RODO, jako organ wyspecjalizowany. Zdaniem Naczelnego Sądu Administracyjnego prawidłowe jest stanowisko, że skoro nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych, o czym będzie jeszcze mowa niżej. Błędne jest także stanowisko Sądu pierwszej instancji w kwestii oceny rozstrzygnięcia zawartego w zaskarżonej decyzji. Trzeba bowiem pamiętać, że uzasadnienie decyzji stanowi jej integralną część, zatem treść sentencji decyzji należy odczytywać z uwzględnieniem treści jej uzasadnienia. Rozstrzygnięcie decyzji w sposób niewątpliwy dotyczyło usunięcia wszelkich danych osobowych wnioskodawczyni w zakresie dotyczącym zapytania kredytowego z dnia 6 czerwca 2018 r., które nie zakończyło się zawarciem umowy kredytu. Nie było zatem potrzeby jakiegokolwiek "uszczegóławiania" rozstrzygnięcia. Przechodząc do oceny zarzutów naruszenia prawa materialnego należy podnieść, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO, określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 u.P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz.U. z 2024 r., poz. 1497; dalej: "u.k.k."), a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. W świetle ww. przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b., uprawnione było przetwarzanie danych osobowych wnioskodawczyni w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Należy jednak podkreślić, że w związku z zapytaniem kredytowym nie doszło do zawarcia umowy kredytowej, a powyższa okoliczność nie była kwestionowana w toku postępowania. Nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Nadto wnioskodawczyni wniosła o zaprzestanie przetwarzania jej danych w związku z zapytaniami kredytowymi, w rezultacie których nie udzielono jej kredytu. Wobec tego należy zgodzić się ze stanowiskiem skarżącego kasacyjnie organu, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych zarówno przez Bank, jak i przez B., które to przetwarzanie miało na celu - co wymaga raz jeszcze podkreślenia - ocenę zdolności kredytowej i analizę ryzyka kredytowego - przed zawarciem umowy. Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych, to należało uznać, tak jak prawidłowo przyjął Prezes UODO, że ustał cel przetwarzania danych osobowych pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Z ww. przepisów wynika, że przesłanki zawarte w art. 105a u.P.b. dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących przetwarzanie danych osobowych zawartych w zapytaniu kredytowym. Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego. Powracając raz jeszcze do kwestii prawidłowości sformułowania rozstrzygnięcia decyzji należy wskazać, że sposób sformułowania w niej nakazu jest prawidłowy. Rozstrzygnięcie decyzji jest w ocenie Naczelnego Sądu Administracyjnego na tyle jasne i precyzyjne, że nie wywołuje trudności w sferze wykonania. Nie ma przy tym wątpliwości, że nakaz usunięcia dotyczy danych osobowych wnioskodawczyni zawartych w zapytaniu kredytowym z dnia 6 czerwca 2018 r., które nie zakończyło się zawarciem umowy kredytu. Skarżący znają to zapytanie i zawarte w nich dane osobowe. Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy kredytowej. Dalsze przetwarzanie danych, uzyskanych wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zebrano. Na gruncie RODO niedopuszczalne jest - w takim stanie faktycznym, jak w sprawie, gdy nie zawarto umowy kredytowej - przetwarzanie danych osobowych "na przyszłość", w innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań w odniesieniu do K.K. Skoro w sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy, to należało uznać, że trafnie PUODO uznał, że brak jest podstaw do uznania, że zachodzi przesłanka z art. 6 ust. 1 lit. f RODO, o czym jeszcze będzie mowa niżej. Odnosząc się do zarzutu naruszenia prawa materialnego, a to art. 70a ust. 1 u.P.b. należy wskazać, że zgodnie z tym przepisem banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie zaś z art. 70a ust. 2 u.P.b. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia wniosku o przedłożenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej. Z akt nie wynika, aby został złożony taki wniosek. K.K. zwróciła się natomiast o usunięcie danych osobowych związanych z zapytaniem kredytowym i w związku z odmową w tym zakresie podjęła działania przed Prezesem UODO. Dodać również należy, że art. 70a u.P.b. nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust. 4 u.P.b. Nie może być więc mowy o tym, aby podstawę do dalszego przetwarzania danych osobowych wnioskodawczyni przez B. stanowił art. 70a ust. 1 u.P.b. Omawiany zarzut skargi kasacyjnej jest zatem uzasadniony. Naczelny Sąd Administracyjny, odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit. f RODO, tym razem w nawiązaniu do wskazywanej przez skarżących potrzeby przechowywania danych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy kredytowej, na wypadek ewentualnych przyszłych roszczeń wskazuje, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby K.K., która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do skarżących. Natomiast jednoznacznie zażądała usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do "dalszego" przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano - i nie wynika to też ze skarg - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych w zakresie zapytań kredytowych i z którym nie zawarto umowy kredytowej. Ważąc zatem interesy K.K., która żądała respektowania jej praw do ochrony danych osobowych, wynikających z RODO, oraz interesy skarżących w sytuacji, gdy nie zawarto z K.K. umowy kredytowej, należało uznać, że brak było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd w składzie rozpoznającym sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA z 27 marca 2018 r., I OSK 1459/16 i z 1 października 2025 r., III OSK 872/22). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych - w sytuacji, gdy mowa o danych osoby, z którą nie zawarto umowy kredytowej czy umowy pożyczki, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a skarżącymi, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie skarżących w "dalszym" przetwarzaniu danych tej osoby. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane, mimo nie zawarcia umowy kredytowej (por. motyw 47 RODO). Jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności, czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Pamiętać trzeba również, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość", po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy, ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego, co niezbędne do ich osiągnięcia (art. 5 ust. 1 lit. c RODO). Przetwarzanie "na przyszłość" danych zawartych w zapytaniach kredytowych, w sytuacji, gdy nie zawarto umowy kredytowej, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Przyjęcie odmiennej interpretacji prowadziłoby do tego, że wobec osoby, której dane zawarto w zapytaniu kredytowym i z którą nie zawarto umowy kredytowej, istniałaby dowolność, tak co do zasad przetwarzania jej danych osobowych, jak również co do przedstawienia innych celów przetwarzania, których nie ujawniono wprost przed pozyskaniem danych (innych niż ocena zdolności kredytowej i ryzyka kredytowego) oraz co do dowolnego ustalenia przez podmiot dysponujący danymi czasu przetwarzania danych z uwzględnieniem przyjmowanych celów, które służą określonym wymogom organu nadzoru nad rynkiem finansowym. Ponadto należy zauważyć, że nie brak jest w aktualnym stanie prawnym przepisów, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz.U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje, to odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów. Nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41). Przyjęcie odmiennego od prezentowanego w skardze kasacyjnej stanowiska prowadziłoby do tego, że sytuacja osoby fizycznej, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej byłaby gorsza z punktu widzenia ochrony danych osobowych przewidzianych w RODO i odczytywanych łącznie z ww. przepisami u.P.b., niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, po wygaśnięciu zobowiązania wynikającego z danej umowy, do dalszego przetwarzania danych niezbędna byłaby zgoda osoby, której dane dotyczą, odwołalna w każdym czasie. Podmiot, który zażądał usunięcia swoich danych osobowych, byłby pozbawiony ochrony, choć przetwarzano jego dane w celu, który nie jest ściśle związany z konkretną czynnością, w związku z którą uzyskano i przetwarzano dane. Zdaniem Naczelnego Sądu Administracyjnego chcąc realizować obowiązki nałożone przez instytucje nadzorcze, w zakresie prowadzonej działalności, a jednocześnie chcąc przetwarzać dane osobowe konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych (dane osoby, która w związku z zapytaniem kredytowym stanowiącym podstawę do zebrania i przetwarzania danych, nie uzyskała kredytu) należy przestrzegać przepisów RODO w zakresie "dalszego" przetwarzania, które nie wiąże się z oceną zdolności kredytowej i analizą ryzyka. Naczelny Sąd Administracyjny podziela bowiem prezentowane w orzecznictwie poglądy, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia tej umowy, pozostawałoby w oderwaniu od celu, dla którego uzyskano i przetwarzano dane osobowe osoby fizycznej. Tym samym niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019 r., I OSK 2567/17). Mając na uwadze, iż zarzuty skargi kasacyjnej okazały się uzasadnione, a istota sprawy została dostatecznie wyjaśniona, Naczelny Sąd Administracyjny na podstawie art. 188 p.p.s.a. uchylił zaskarżony wyrok i w oparciu o art. 151 p.p.s.a. w związku z art. 193 p.p.s.a. oddalił skargi Banku oraz B. S.A. O kosztach postępowania kasacyjnego orzeczono zgodnie z zasadą odpowiedzialności za wynik postępowania, w oparciu o art. 203 pkt 2 p.p.s.a. w związku z art. 205 § 2 p.p.s.a. Na podstawie art. 156 § 1 i § 3 p.p.s.a. sprostowano oczywistą omyłkę w komparycji wyroku Sądu pierwszej instancji, gdyż prawidłowy numer zaskarżonej decyzji widniejący na jej pierwszej stronie to "ZSPR.440.1498.2018.FT.RR.132656,132651,132653".