DS.523.3589.2020

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), art. 6 ust. 1, art. 14 ust. 1 i 2 oraz art. 58 ust. 2 lit. c  Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1,  Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896), po przeprowadzeniu postępowania administracyjnego w sprawie skargi XY, zam. w Z., na nieprawidłowości w procesie przetwarzania danych osobowych przez C. S.A., z siedzibą w Z., polegające na przetwarzaniu danych osobowych Skarżącego bez podstawy prawnej, udostępnieniu ich do A. S.A., z siedzibą w X., bez podstawy prawnej oraz niespełnieniu wobec Skarżącego obowiązku informacyjnego, Prezes Urzędu Ochrony Danych Osobowych

1.     nakazuje C. S.A., z siedzibą w Z., zaprzestania przetwarzania danych osobowych Pana XY., zam. w Z., dotyczących umów nr […] z dnia […] listopada 2008 r. oraz nr […] z dnia […] stycznia 2012 r., w systemie A. S.A., z siedzibą w X., przetwarzanych na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego;

2.     w pozostałym zakresie odmowa uwzględnienia wniosku.

Uzasadnienie

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana XY., zam. w Z., zwanego dalej Skarżącym, na nieprawidłowości w procesie przetwarzania danych osobowych Skarżącego przez C. S.A., z siedzibą w Z., zwaną dalej Bankiem, polegające na przetwarzaniu danych osobowych Skarżącego bez podstawy prawnej, udostępnieniu ich do A. S.A. z siedzibą w X., zwana dalej A. oraz niespełnieniu wobec Skarżącego obowiązku informacyjnego.

W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżący w treści skargi wskazał, że mimo ustania jego relacji z Bankiem po całkowitej spłacie zobowiązania Bank nadal przetwarza jego dane osobowe bez podstawy prawnej oraz udostępnia je w zewnętrznej bazie A. W ocenie Skarżącego Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jego danych osobowych w bazie A w związku z wierzytelnościami wynikającymi z umowy na kredyt niecelowy z dnia [...] stycznia 2012 r. oraz karty kredytowej z dnia [...] listopada 2008 r., ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896), zwanej dalej Prawem bankowym. Bank nie powiadomił Skarżącego o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie A. W związku z powyższym Skarżący żąda nakazania Bankowi zaprzestania przetwarzania jego danych osobowych w bazie A dot. ww. umów (dowód: pismo Skarżącego z dnia […] lipca 2020 r. wraz z załącznikami).
2. Bank wskazał, że dane osobowe Skarżącej zostały pozyskane w wyniku zawarcia ze Skarżącym umowy o kredyt gotówkowy plus o numerze [...] z dnia […] stycznia 2012 r. oraz umowy nr [...]  o przyznanie limitu kredytowego i wydanie karty z dnia [...] listopada 2008 r. Podstawą legalizującą przetwarzanie danych Skarżącego był w szczególności art. 6 ust. 1 lit. b, c oraz f RODO. W związku ze spłatą ww. umów Bank aktualnie przetwarza dane osobowe Skarżącego na podstawie art. 6 ust. 1 lit. f RODO, wskazując, że prawnie uzasadnionym interesem Banku jest obrona przed roszczeniami (dowód: pismo Banku z dnia [...] sierpnia 2020 r. wraz z załącznikami).
3. Bank pozyskał dane osobowe Skarżącego w zakresie: imię, nazwisko, numer PESEL, serię i numer dokumentu tożsamości, dane teleadresowe,  w tym adres zameldowania, adres zamieszkania, telefon kontaktowy, adres e-mail oraz dane finansowe (dowód: pismo Banku z dnia [...] sierpnia 2020 r. wraz z załącznikami).
4. Bank wskazał, że cyt.: „(…) Z chwilą zawarcia każdej z Umów Skarżący na warunkach określonych w Ustawie - Prawo bankowe wyraził zgodę na przetwarzanie przez Bank, po wygaśnięciu Umowy (aż do odwołania) wszystkich jego danych, w tym danych objętych tajemnicą bankową w celu zarządzania ryzykiem, oceny zdolności kredytowej, ryzyka kredytowego, w tym ryzyka wystąpienia opóźnienia w spłacie (…)”. Bank wskazał, że Skarżący został również poinformowany, że na podstawie art. 105 ust. 4d Prawa bankowego Bank może za pośrednictwem A przekazać do instytucji finansowych informacje o zobowiązaniach powstałych z tytułu ww. umowy, a związanych z wykonywaniem czynności bankowych (dowód: pismo Banku z dnia [...] sierpnia 2020 r. wraz z załącznikami).
5. Jak wynika z wyjaśnień Banku umowa nr [...] z dnia [...] stycznia 2012 r. została wypowiedziana przez Bank w dniu […] grudnia 2013 r. Pismo poprzedzające wypowiedzenie umowy, informujące Skarżącego o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową zostało wysłane przez Bank w dniu […] grudnia 2013 r. Bank wskazał również, że przetwarza dane osobowe Skarżącego dotyczące ww. rachunku na podstawie art. 105a ust. 3 ustawy Prawo bankowe od momentu zamknięcia zobowiązania. Bank wyjaśnił, że przedmiotowa umowa została spłacona w dniu […] maja 2019 r...
6. Bank wskazał, że umowa [...] z dnia [...] listopada 2008 r. została wypowiedziana przez Bank w dniu […] lutego 2014 r. Pismo poprzedzające informujące Skarżącego o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową zostało wysłane przez Bank w dniu […] lutego 2014 r. Bank wskazał również, że przetwarza dane osobowe Skarżącego dotyczące ww. rachunku na podstawie art. 105a ust. 3 ustawy Prawo bankowe od momentu zamknięcia zobowiązania. Bank wyjaśnił, że przedmiotowa umowa została spłacona w dniu […] maja 2019 r. (dowód: pismo Banku z dnia [...] sierpnia 2020 r. wraz z załącznikami).
7. Bank wskazał, że Skarżący zwrócił się z żądaniem zaprzestania przetwarzanie jego danych  osobowych wnioskami z dnia […] czerwca 2020 r., […] czerwca 2020 r. oraz […] lipca 2020. Bank udzielił odpowiedzi na ww. wnioski Skarżącego odpowiednio w dniach  […] czerwca 2020 r. oraz […] czerwca 2020 r., Bank wyjaśnił, że zrealizował żądanie Skarżącego w zakresie wycofania zgody na przetwarzanie danych w celach marketingowych oraz w celu oceny zdolności kredytowej. W odniesieniu do wniosku o wycofanie zgody na przetwarzanie danych przez A Bank wskazał, że poinformował Skarżącego, że na podstawie Prawa bankowego, Bank przekazał do A informacje o zobowiązaniach wynikających z ww. umów, stanowiące tajemnice Bankową. Dane wyjaśnił, że te mogą być przetwarzane przez A oraz udostępniane Bankom i innym instytucjom ustawowo upoważnionym do udzielania kredytów oraz instytucjom kredytowym w celach i zakresie określonym przepisami art. 105 ust 4 i art. 105a Prawa Bankowego.  Bank wskazał Skarżącemu, że w jego ocenie w przypadku ww. umów zaistniały przesłanki z art. 105 ust. 3 Prawa bankowego do przetwarzania danych bez zgody Skarżącego, a złożony wniosek będzie skuteczny po upływie 5 lat od spłaty zobowiązań wynikających z ww. umów (dowód: pismo Skarżącego z dnia […] lipca 2020 r. wraz z załącznikami oraz pismo Banku z dnia [...] sierpnia 2020 r. wraz z załącznikami).
8. Bank zawarł z A umowę powierzenia przetwarzania danych osobowych, na podstawie której A przetwarza dane osobowe klientów Banku, przekazane przez Bank (dowód: pismo Banku z dnia [...] sierpnia 2020 r. wraz z załącznikami).
9. A wskazał, że aktualnie przetwarza dane osobowe Skarżącego w zakresie danych przekazanych przez Bank dot. umowy kredytu z dnia [...] stycznia 2012 r. oraz umowy z dnia [...] listopada 2008 r. Dane dotyczące ww. umów zostały przekazane do A przez Bank na podstawie art. 105 ust 4 Prawa bankowego i na podstawie łączącej strony umowy. Ww. rachunki mają status rachunków zamkniętych odzyskanych i przetwarzane są w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, na podstawie art. 105a ust. 3 Prawa bankowego w zw. z art. 105 ust. 4 Prawa bankowego (dowód: pismo A z dnia […] sierpnia 2020 r wraz z załącznikami).
10. A wyjaśnił, że Skarżący zwracał się do A z żądaniem  zaprzestania przetwarzania i dalszego udostępniania jego danych osobowych. W odpowiedzi z dnia […] lipca 2020 r. A wskazał Skarżącemu warunki jaki należy spełnić w celu odwołania zgody na przetwarzanie danych w celu oceny zdolności kredytowej. W dniu […] lipca 2020 r. wpłynęło do A oświadczenie o odwołaniu zgody przez Skarżącego dot. umów zawartych z Bankiem w dniu [...] stycznia 2012 r. oraz [...] listopada 2008 r. A pismem z dnia […] sierpnia 2020 r. poinformował Skarżącego, że dyspozycja odwołania zgody na przetwarzanie danych o zobowiązaniach wskazanych w treści korespondencji została zrealizowana, jednakże z uwagi na istniejące przesłanki wskazane w treści art. 105a  Prawa bankowego dane osobowe Skarżącego dot. ww. umów nie zostały usunięte, a dane o tych zobowiązaniach są wciąż przetwarzane przez A oraz udostępniane bankom i innym instytucjom finansowym składającym do A zapytanie na temat historii kredytowej Skarżącego (dowód: pismo A z dnia […] sierpnia 2020 r wraz z załącznikami). 

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

W pierwszej kolejności należy wskazać, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwanego dalej RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.

Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w A jest obecnie art. 6 ust. 1 f RODO, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania ponadto wymaga, że przetwarzanie danych osobowych klientów Banku przez A odbywa się zgodnie z art. 28 ust. 3 RODO, tj. na podstawie zawartej z Bankiem będącym administratorem umowy powierzenia przetwarzania danych osobowych.

Wskazać należy że A jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja  2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 – 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja  2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Mając powyższe na uwadze wskazać należy, że choć zobowiązanie Skarżącego, wynikające z umowy nr […] zawartej w dniu [...] stycznia 2012 r. oraz nr [...] zawartej w dniu [...] listopada 2008 r.  wobec Banku wygasło, to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, Skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niego obowiązku określonego w art. 105a pkt 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Stwierdzić należy, że sam fakt, iż Skarżący nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane Skarżącego na warunkach określonych w ww. przepisie, musi wykazać, że Skarżący został poinformowany o zamiarze przetwarzania ich bez jego zgody. W niniejszej sprawie Skarżący podniósł natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jego danych osobowych w A. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie Skarżącego o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego zostały spełnione. Podkreślenia wymaga, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie Skarżącego o treści 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostającego w sprzeczności z twierdzeniami Skarżącego.

Bank nie przedstawił dowodu na prawidłowe doręczenie Skarżącemu dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania Skarżącego o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Dodatkowo należy podkreślić, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. W tym miejscu należy wskazać, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował Skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego.

Powyższe stanowisko organu znajduje oparcie w wyroku Wojewódzkiego Sądu Administracyjnego z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, zgodnie z którym cyt.: „ (…) samo potwierdzenie komputerowe w prawym górnym rogu pism "PRZESYŁKA NIESTEMPLOWANA, Data nadania 2015 - 08 - 07", nie stanowi potwierdzenia wysłania pism. Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. (…) Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych - listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. (…) Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (...) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism)”. Jeśli więc oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list (telegram) został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest wprawdzie dowodem doręczenia go adresatowi.

Skarżący w złożonej skardze zarzucił również, że Bank przetwarza jego dane osobowe z naruszeniem obowiązku informacyjnego. Skarżący powołał się na art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922), zwanej dalej ustawą z 1997 r., mówiący o spełnieniu przez administratora obowiązku informacyjnego w przypadku zbierania danych osobowych nie od osoby, której one dotyczą. Obecnie odpowiednik tego przepisu stanowi art. 14 ust. 1 i 2 RODO. Z ustalonego w niniejszej sprawie stanu faktycznego wynika jednak, że Bank pozyskał i przetwarza dane osobowe Skarżącego wyłącznie na podstawie zawartych z nim umów, a zatem dane zostały pozyskane bezpośrednio od niego. Wobec powyższego Bank nie był zobowiązany spełnieniem wobec Skarżącego obowiązku informacyjnego wynikającego z art. 14 ust. 1 i 2 RODO.

Podzielając powyższe rozważania raz jeszcze podkreślić należy, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Prezes Urzędu Ochrony Danych Osobowych, w toku prowadzonego postępowania administracyjnego, również nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych Skarżącego w oparciu o ww. podstawę prawną w powyższym celu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 Prawa bankowego danych osobowych Skarżącego w A w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.