W najnowszym, precedensowym orzeczeniu z dnia 30 maja 2024 roku (sygn. akt III OSK 984/22), Naczelny Sąd Administracyjny (NSA) jednoznacznie rozstrzygnął spór dotyczący przetwarzania danych osobowych przez banki i Biuro Informacji Kredytowej (BIK). NSA uznał, że BIK nie może przechowywać ani przetwarzać danych osób, które wnioskowały o kredyt lub kartę kredytową, ale nie doszło do podpisania umowy. Wyrok ten ma fundamentalne znaczenie dla ochrony danych osobowych konsumentów w Polsce i stanowi istotny głos w zakresie stosowania przepisów RODO oraz prawa bankowego.

Dane osobowe po zapytaniu kredytowym – co się dzieje?

Sprawa rozpoczęła się od skargi obywatela, który w 2019 roku złożył wniosek o kartę kredytową. Choć do zawarcia umowy nigdy nie doszło, bank przesłał zapytanie do BIK, co skutkowało przetwarzaniem jego danych osobowych w bazie tej instytucji. Mężczyzna uznał, że takie działanie nie ma podstawy prawnej i zwrócił się do Prezesa Urzędu Ochrony Danych Osobowych (UODO), żądając usunięcia swoich danych.

Prezes UODO przyznał mu rację i zobowiązał bank oraz BIK do ich usunięcia. Jednakże BIK zaskarżył decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie, który początkowo przyznał rację instytucjom finansowym. Dopiero Naczelny Sąd Administracyjny, rozpatrując skargę kasacyjną, diametralnie zmienił tok postępowania, dając wyraz ochronie prywatności konsumenta.

NSA: brak umowy oznacza brak podstaw do przetwarzania danych

Sąd podkreślił, że art. 105a ustawy Prawo bankowe dotyczy wyłącznie danych osób, które zawarły z bankiem stosunek zobowiązaniowy – czyli podpisały umowę. „Brak jest normy prawnej, która uprawniałaby banki i BIK do przetwarzania danych osób, z którymi nie zawarto umowy” – orzekł NSA. W szczególności nie można uzasadniać takiego działania koniecznością ustalenia, dochodzenia czy obrony roszczeń, jak twierdziły bank i BIK, ani też szeroko rozumianym interesem prawnym administratora.

NSA przypomniał, że:

„Regulacje w zakresie ograniczania konstytucyjnych praw jednostki – jak prawo do prywatności – muszą być interpretowane ściśle językowo, a nie rozszerzająco”.

Jakie dane były przetwarzane bez podstawy prawnej?

Zakres danych, jakie były przetwarzane przez bank i BIK, jest zatrważający. Obejmował m.in.:

• imię i nazwisko, PESEL, numer dowodu osobistego,
• adres zamieszkania, e-mail i numer telefonu,
• stan cywilny, liczbę dzieci, szczegóły dotyczące dochodów i zobowiązań finansowych.

NSA stwierdził, że przetwarzanie tych danych po odpadnięciu celu (brak podpisanej umowy) jest bezprawne.

Co z budową modeli scoringowych?

BIK bronił się, że dane są mu potrzebne m.in. do:

• przeciwdziałania przestępstwom,
• budowy tzw. modeli scoringowych (systemów oceny zdolności kredytowej),
• celów statystycznych i reklamacyjnych (nawet do 10 lat).

Sąd uznał jednak, że nawet w tym zakresie nie istnieje przepis prawa, który pozwalałby przetwarzać dane osób, które nie podpisały umowy. Zatem te cele, choć mogą być użyteczne z punktu widzenia banków, nie mogą uzasadniać naruszenia prawa do prywatności.

Orzecznictwo NSA: ochrona prywatności ponad interesy banków

NSA po raz kolejny stanął po stronie obywatela, przypominając, że konstytucyjne prawo do prywatności (art. 47 Konstytucji RP) oraz zasada proporcjonalności (art. 31 ust. 3 Konstytucji RP) wymagają od państwa i jego organów zapewnienia realnej ochrony jednostki. Jak zaznaczył sędzia sprawozdawca Rafał Stasikowski:

„Prawnie uzasadniony interes z art. 6 ust. 1 lit. f RODO nie może być utożsamiany z każdym interesem zgodnym z prawem. Musi on wynikać z konkretnego przepisu prawa”.

Co oznacza wyrok NSA dla konsumentów?

Wyrok NSA otwiera drogę do żądania usunięcia danych osobowych przez każdą osobę, która złożyła wniosek kredytowy, ale nie podpisała umowy. Banki i BIK nie mogą już powoływać się na ogólne interesy lub potencjalne przyszłe roszczenia – muszą mieć konkretną podstawę prawną, której w takich przypadkach brak.

Wyrok ten jest prawomocny i wiążący, co oznacza, że zarówno UODO, jak i sądy administracyjne oraz instytucje finansowe muszą go respektować.

Podsumowanie: Twoje dane to Twoje prawo

Sprawa ta pokazuje, jak istotne jest egzekwowanie przepisów RODO w praktyce. Konsument ma prawo do ochrony swoich danych i do ich usunięcia, jeśli nie zachodzą przesłanki do ich dalszego przetwarzania. Wyrok NSA jest ważnym kamieniem milowym w kierunku skuteczniejszej ochrony prywatności i ograniczenia arbitralności instytucji finansowych w obrocie danymi osobowymi.

📌 Potrzebujesz pomocy prawnej? Skontaktuj się z nami

Drogi Czytelniku, przypominamy, że każda sprawa prawna może okazać się złożona i pełna niuansów, które bez wiedzy prawniczej łatwo przeoczyć. Przepisy są wieloznaczne, a ich interpretacja zależy często od okoliczności konkretnego przypadku. Dlatego przed podjęciem jakichkolwiek kroków prawnych warto skonsultować się z doświadczonym prawnikiem.

Skontaktuj się z nami już teraz. Przeanalizujemy Twoją sytuację i dokładnie sprawdzimy, jakie masz możliwości działania. Nasi eksperci z Kancelarii LEGA ARTIS pomogli już wielu klientom, którzy początkowo sądzili, że znajdują się w sytuacji bez wyjścia.

📞 579-636-527
📧 [email protected]

Nie czekaj – napisz lub zadzwoń już dziś. Pierwszy krok do rozwiązania problemu prawnego to rozmowa z prawnikiem, który naprawdę zna się na rzeczy.