Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r. poz. 1781) i art. 6 ust. 1 oraz  art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia  27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1,  Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani W.C. zam. w S., na nieprawidłowości w przetwarzaniu jej danych osobowych przez S. S.A. z siedzibą we W., polegające na udostępnieniu i przetwarzaniu tych danych osobowych dotyczących umowy kredytowej nr […] z dnia 21 lutego 2008 r. w B. S.A. z siedzibą w W., bez podstawy prawnej, Prezes Urzędu Ochrony Danych Osobowych

nakazuje S. S.A. z siedzibą we W., zaprzestanie przetwarzania danych osobowych Pani W.C. zam. w S., dotyczących umowy nr […] z dnia 21 lutego 2008 r., przetwarzanych na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w systemie B.S.A., z siedzibą w W.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani W.C.  zam. w S., zwanej dalej Skarżącą, na nieprawidłowości  w procesie przetwarzania jej danych osobowych przez S. S.A. z siedzibą we W., zwaną dalej Bankiem, polegające na  na udostępnieniu i przetwarzaniu tych danych osobowych dotyczących umowy kredytowej nr […] z dnia 21 lutego 2008 r. w B. S.A. z siedzibą w W., zwanej dalej B., bez podstawy prawnej.

W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżąca w treści skargi wskazała, że w dniu 21 lutego 2008 r. zawarła z Bankiem umowę o kredyt gotówkowy, a dane dotyczące wyżej wymienionego zobowiązania zostały wpisane do bazy B.. Działający w imieniu Skarżącej pełnomocnik cyt.: „(…) złożył do Banku w dniu […].02.2022 roku wniosek, w którym m. in. odwołałam zgodę na przetwarzanie moich danych dotyczących wskazanego zobowiązania oraz  o przeniesienie danych związanych z umową do sekcji statystycznej przetwarzanych  w B. S. A. W związku z odmową Banku, pełnomocnik wielokrotnie składał odwołania w moim imieniu. Jednocześnie w pismach z dnia […].04.2022 r. i […].05.2022 r. pełnomocnik wnosił o doręczenie dokumentów potwierdzających możliwość przetwarzania moich danych osobowych w B. S. A. bez mojej zgody na podstawie  art. 105a ust. 3 ustawy Prawo Bankowe wraz z dowodem otrzymania przeze mnie pisma o którym mowa w decyzjach Banku tj. oświadczenia o wypowiedzeniu umowy wraz  z informacją o zamiarze przetwarzania danych stanowiących tajemnicę bankową bez zgody Klienta. Bank w odpowiedziach z dnia […].03.2022 r., […].05.2022 r.  i […].06.2022 r. wskazał, że listem poleconym wysłał mi oświadczenie o wypowiedzeniu umowy, a ponadto, że we wskazanym piśmie zostały zawarte informacje o zamiarze przetwarzania danych stanowiących tajemnicę bankową bez mojej zgody.”. W ocenie Skarżącej Bank nie spełnił wymagań uprawniających ją do rozpoczęcia przetwarzania jej danych osobowych w bazie B. w związku z umową z dnia 21 lutego 2008 r., ponieważ Bank nie spełnił łącznie wszystkich warunków wynikających z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439), zwanej dalej Prawem bankowym, tj. W związku z powyższym Skarżąca wniosła o nakazanie usunięcia jej danych osobowych (dowód: skarga z dnia […] lipca 2022 r. wraz z załącznikami).
2. Bank wyjaśnił, że pozyskał dane osobowe Skarżącej w wyniku zawarcia umowy  nr […] z dnia 21 lutego 2008 r. w zakresie: dane identyfikacyjne (imię i nazwisko, nr PESEL, nr dowodu osobistego), adres email, numer telefonu, adres zameldowania i korespondencyjny, nazwa zakładu pracy i wysokość osiąganych dochodów. Bank także wskazał, że aktualnie przetwarza dane osobowe Skarżącej na podstawie art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1,  Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO, w celu obrony przed ewentualnymi roszczeniami do czasu ich przedawnienia zgodnie z art. 118 ustawy z dnia 23 kwietnia 1964 Kodeks cywilny (Dz. U. z 2020 r. poz. 1740), zwanej dalej k.c. Dane osobowe Skarżącej przetwarzane są również w B. na podstawie art. 105a ust. 3 Prawa bankowego przez okres wskazany w art. 105a ust. 5 Prawa bankowego. Jednocześnie cyt.: „(…) z uwagi na zdarzenie losowe, tj. pożar w centrum operacyjnym P. sp. z o.o., w którym archiwizowane są dokumenty Banku, Bank nie dysponuje kopią Umowy.”. Bank również wyjaśnił, że ani Skarżąca nie kierowała do Banku jakiegokolwiek roszczenia, ani Bank nie zamierza kierować względem niej jakichkolwiek roszczeń (dowód: wyjaśnienia Banku z dnia […] sierpnia 2022 r. wraz z załącznikami oraz wyjaśnienia Banku z dnia […] sierpnia 2022 r.).
3. Bank wskazał, że cyt.: „(…) przekazał do B. (...) informacje o zobowiązaniu wynikającym z Umowy stanowiące tajemnicę bankową oraz dane identyfikacyjne Skarżącej. Dane te mogą być przetwarzane przez B. oraz udostępniane Bankom i innym instytucjom ustawowo upoważnionym do udzielania kredytów oraz instytucjom kredytowym w celach i zakresie określonym przepisami art. 105 ust. 4  i art. 105a Prawa Bankowego. Pierwszy wsad przekazania danych B. w dniu […].08.2013 r.”. Bank wskazał, że do B. w czasie trwania przedmiotowej umowy przekazywane były cyklicznie dane: o aktualnej kwocie kredytu, stanie zadłużenia, zaległościach oraz dane osobowe w zakresie: imię i nazwisko, PESEL, numer dowodu osobistego, adres zamieszkania, a pierwszy wsad informacyjny nastąpił w dniu […] maja 2008 r. Ponadto Bank wyjaśnił, że cyt.: „(…) w związku ze zwłoką w spełnieniu świadczenia wynikającego z zawartej Umowy, Bank wysłał Oświadczenie  o wypowiedzenie umowy z dnia […].03.2010 r. (data nadania: […].03.2016 r.) w którym znalazła się informacja dotycząca przetwarzania danych Skarżącej – bez zgody, tj. na podstawie art. 105a ust. 3 Ustawy – Prawo Bankowe; Wskazujemy jednocześnie,  że korespondencja została wysłana do Skarżącej listem poleconym bez zwrotnego potwierdzenia odbioru. Bank nie odnotował zwrotu powyższej korespondencji  z informacją o zamiarze przetwarzania danych Skarżącej na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe. W związku z powyższym, biorąc pod uwagę fakt,  że korespondencja została wysłana Skarżącej na wskazany przez nią adres, a zgodnie  z art. 61 Kodeksu Cywilnego „Oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią”, należy przyjąć, że Skarżąca mogła zapoznać się z informacją o zamiarze przetwarzania jej danych na podstawie art. 105a ust. 3 Ustawy – Prawo Bankowe, tym bardziej że korespondencja nie została zwrócona do Banku. Wskazujemy ponadto,  że zwłoka w spełnieniu świadczenia trwała powyżej 60 dni. Informujemy jednocześnie, że dane Skarżącej pozyskane w związku z Umową będą przetwarzane przez B. na podstawie art. 105a ust. 3 Ustawy – Prawo Bankowe przez 5 lat od daty […].01.2022 r.”. Bank wyjaśnił, że Skarżąca zwracała się do Banku z żądaniem zaprzestania przetwarzania jej danych osobowych w bazie B. (dowód: wyjaśnienia Banku z dnia  [..] sierpnia 2022 r. wraz z załącznikami).
4. Zgodnie z wyjaśnieniami B. pozyskało dane osobowe Skarżącej od Banku na podstawie art. 105 ust. 4 i art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i B. umowy. B. wskazało, że przetwarza dane osobowe Skarżącej przekazane przez Bank w zakresie umowy kredytowej z dnia 21 lutego 2008 r., przekazane do zbioru danych B. w dniu […] lipca 2008 r. B. również wyjaśniło, że obecnie przetwarza dane osobowe dotyczące przedmiotowej umowy kredytowej, w tym historii spłaty w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 1 Prawa bankowego, ze względu na przekazanie przez Bank do B. informacji  o spełnieniu warunków, o których mowa w tym przepisie dających podstawę do przetwarzania danych bez zgody Skarżącej. Dane będą przetwarzane w tym celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, zgodnie z art. 105a ust. 5 Prawa bankowego. B. wyjaśniło, że jako datę wygaśnięcia zobowiązania Bank wskazał  […] stycznia 2022 r. B. również wyjaśniło, że ani Bank nie zwracało się do B.  z wnioskiem o usunięcie danych Skarżącej, ani Skarżąca nie występowała z wnioskiem w tym zakresie (dowód: wyjaśnienia B. z dnia […] sierpnia 2022 r. oraz załączona do wyjaśnień Banku z dnia […] sierpnia 2022 r. umowa dotycząca przekazywania danych).

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych, zwany dalej także Prezesem UODO, zważył, co następuje.

W pierwszej kolejności wskazać należy, że  RODO, określa legalność przetwarzania danych osobowych. Każda z przesłanek z art. 6 ust. 1 RODO ma charakter autonomiczny  i niezależny, co oznacza, że spełnienie jednej z nich stanowi w danym przypadku o zgodności  z prawem przetwarzania danych osobowych. Podkreślić zatem należy także, że zgoda osoby, której dane dotyczą nie jest jedyną podstawą uprawniającą do przetwarzania jej danych osobowych (lit. a). Proces przetwarzania danych będzie zgodny z przepisami ustawy również wtedy, gdy administrator danych wykaże spełnienie choćby jednej przesłanki z wspomnianego art. 6 ust. 1 RODO, w tym, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią,  z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (lit. f).

Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w B. może być obecnie art. 6 ust. 1 f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania ponadto wymaga, że przetwarzanie danych osobowych klientów Banku przez B. odbywa się na podstawie zawartej z Bankiem umowy.

Wskazać należy że B. jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja  2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego  (pkt 4).

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 – 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś  z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja  2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Mając powyższe na uwadze wskazać należy, że choć zobowiązanie Skarżącej, wynikające z umowy nr […] z dnia 21 lutego 2008 r. wobec Banku wygasło w dniu […] stycznia 2022 r., to jak wynika ze zgromadzonego materiału dowodowego, odnośnie spłaty zadłużenia Skarżąca dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niej obowiązku określonego w art. 105a pkt 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Stwierdzić należy, że sam fakt, iż Skarżąca nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba, której informacje dotyczą dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba, której informacje dotyczą zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane Skarżącej na warunkach określonych w ww. przepisie, musi wykazać, że Skarżąca została poinformowana o zamiarze przetwarzania ich bez jej zgody. W niniejszej sprawie Skarżąca podniosła natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jego danych osobowych w B. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie Skarżącej o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego zostały spełnione wskazując, że ustawodawca nie stworzył żadnych wymogów formalnych, co do sposobu i treści poinformowania klienta o zamiarze przetwarzania jego danych na podstawie art. 105a ust.3 Prawa bankowego, jednakże sposób powinien umożliwić zweryfikowanie faktu poinformowania klienta o zamierzonym przetwarzaniu lub potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. Podkreślenia wymaga, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie Skarżącej o treści 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostającego w sprzeczności z twierdzeniami Skarżącej.

Bank nie przedstawił dowodu na prawidłowe doręczenie Skarżącej dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania Skarżącej o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. W niniejszej sprawie nie można ustalić daty zapoznania się przez Skarżącą z przesłaną jej informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony ww. przepisie.

Prezes Urzędu Ochrony Danych Osobowych podziela stanowisko wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 stycznia 2022 r. w sprawie o sygn. II Sa/Wa 3584/21, zgodnie z którym cyt.: „poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy – Prawo bankowe, listem poleconym nie pozwala – w okolicznościach niniejszej sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu” (II SA/Wa 3584/21 - Wyrok WSA w Warszawie z 2022-01-18 (nsa.gov.pl)).

Dodatkowo należy podkreślić, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Skarżącej o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. W tym miejscu należy wskazać, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował Skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Prezes Urzędu Ochrony Danych Osobowych podziela stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z dnia 7 sierpnia 2018 r. w sprawie o sygn. OSK 2123/16, zgodnie z którym cyt.: „literalne odczytanie art. 105a ust. 3 Prawa bankowego może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny "poinformowania", a nie "wysłania zawiadomienia"” (Legalis nr 1814483).

Podzielając powyższe rozważania raz jeszcze podkreślić należy, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w systemie B. W ocenie organu odnośnie powyższego procesu przetwarzania, Bank nie legitymuje obecnie żadną przesłanką legalizującą ten proces, spośród określonych w art. 6 ust. 1 RODO.

Wskazać należy, że organ prowadząc postępowanie w sprawie indywidualnej, związany był treścią skargi, wobec czego rozstrzygał wyłącznie co do kwestionowanych w niej nieprawidłowości w procesie przetwarzania danych Skarżącej.

W tym miejscu wskazać należy, że postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji  art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Wobec powyższego korzystając z uprawnienia przewidzianego  w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 Prawa bankowego danych osobowych Skarżącej dotyczących umowy nr […] z dnia 21 lutego 2008 r. w  w B. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.