Wystąpiłeś o kartę czy kredyt, ale ich nie wziąłeś? NSA: BIK musi usunąć twoje dane

W czwartek Naczelny Sąd Administracyjny wydał precedensowy wyrok dotyczący ochrony danych osobowych klientów banków. Wynika z niego jasno, że Biuro Informacji Kredytowej (BIK) musi usuwać dane klientów, których umowy z bankiem nie doszły do skutku. W konsekwencji nie może ich dalej wykorzystywać, np. do oceny zdolności kredytowej czy budowy tzw. modeli scoringowych. 

Kiedy bank i BIK może przetwarzać dane osobowe klientów?

Spór trafił na wokandę z inicjatywy niezadowolonego niedoszłego klienta banku. Mężczyzna w styczniu 2020 r. zaalarmował prezesa Urzędu Ochrony Danych Osobowych (UODO), bo był przekonany, że instytucja finansowa i BIK przetwarzają jego dane osobowe bezprawnie. 

Wyjaśnił, że w marcu 2019 r. bank wysłał zapytanie kredytowe do BIK, w wyniku czego w bazie BIK przetwarzane są jego dane osobowe dotyczące tego zapytania. Mężczyzna zaznaczył jednak, że do zawarcia umowy ostatecznie nie doszło i wniósł o zobligowanie instytucji do usunięcia jego danych osobowych przetwarzanych bez podstawy prawnej.

Czytaj więcej:

Prawo w firmie

RODO: 20 rzeczy, które musisz wiedzieć o RODO

Od 25 maja obowiązuje unijne ogólne r...

Pro

Prezes UODO nie zbagatelizował sprawy. Ustalił, że faktycznie mężczyzna za pośrednictwem systemu bankowego, złożył wniosek o kartę kredytową. W związku z tym bank pozyskał jego dane osobowe w celu oceny zdolności kredytowej. Były to nie tylko numer PESEL, numer CIS, seria i numer dowodu osobistego oraz data jego ważności czy adres, e-mail oraz numer telefonu. Na tej liście znalazły się również informacje o stanie cywilnym, liczbie dzieci na utrzymaniu, a także szczegółowe dane dotyczące jego sytuacji finansowej, takie jak kwota zobowiązań pozakredytowych, wydatki, rodzaje dochodu itd.

Ile czasu dane osobowe mogą być przetwarzane przez banki i BIK?

Bank odpowiedział, że aktualnie przetwarza dane osobowe z wniosku kredytowego w celu ustalenia, dochodzenia lub obrony roszczeń, z zastosowaniem sześcioletniego terminu przedawnienia. Z wyjaśnień BIK wynikało, że ten także przetwarza znaczną część danych osobowych niedoszłego klienta banku, które zostały przekazane na podstawie art. 105 ust. 4 oraz 105a ust. 1 prawa bankowego oraz umowy. 

BIK tłumaczył, że przetwarza dane pochodzące z zapytań kredytowych przez okres 12 miesięcy od ich złożenia m.in. do oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta oraz w celu przeciwdziałania przestępstwom. Instytucja przyznała też, że jeszcze przez pięć lat będzie przetwarzała dane osobowe w związku ze złożonym zapytaniem kredytowym w celu budowy tzw. modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego. A w celach statystycznych, analiz i ewentualnych reklamacji oraz roszczeń nawet do dziesięciu lat. Nie było też wątpliwości, że obie instytucje nie chciały dobrowolnie usunąć danych skarżącego ze swoich baz.

Czy niedoszły klient może żądać usunięcia danych osobowych przez bank i BIK?

UODO doszedł do przekonania, że rację ma obywatel. Nakazał BIK i bankowi usunięcie jego danych osobowych związanych z zapytaniem kredytowym. Prezes UODO podkreślił, że w spornym przypadku nie doszło do zawarcia umowy. A to oznacza, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy zarówno przez bank, jak i BIK. 

Taka wykładnia przepisów nie przekonała BIK. Zaskarżył decyzję UODO, a Wojewódzki Sąd Administracyjny w Warszawie przyznał mu rację. Ostatecznie jednak diametralnie inaczej do problemu podszedł NSA i szala zwycięstwa przechyliła się na stronę UODO i obywatela. Nie dopatrzył się bowiem podstaw do dalszego przetwarzania danych w sporej sprawie.

Czytaj więcej

Dane osobowe

NSA: bank nie może przetwarzać danych osobowych na zapas

Ewentualne przyszłe roszczenia ze strony byłego klienta nie uzasadniają przetwarzania danych osob...

NSA przypomniał, że art. 105a prawa bankowego odnoszą się do przetwarzania danych osób, ale tych, które nawiązały więź prawną z bankiem. A w jego ocenie na gruncie prawa bankowego brak jest normy prawnej, która określałaby podstawę prawną do przetwarzania danych osobowych osób, z którymi nie doszło do nawiązania zobowiązania. Za korzystną zaś dla instytucji finansowych wykładnią nie przemawia zaś art. 6 ust. 1 RODO.