Prawo bankowe daje bankom możliwość przetwarzania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Takie samo uprawnienie przysługuje także innym instytucjom ustawowo upoważnionym do udzielania kredytów oraz instytucjom pożyczkowym. Ponadto, na podstawie art. 105 ust. 4 Prawa bankowego, banki wspólnie z bankowymi izbami gospodarczymi mogą tworzyć instytucje upoważnione do gromadzenia i przetwarzania informacji o klientach banków, instytucji kredytowych i innych instytucji ustawowo upoważnionych do udzielania kredytów oraz udostępniania tych informacji innym tego rodzaju podmiotom. Najbardziej znaną tego typu instytucją jest Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej: BIK). Art. 105 ust. 4i Prawa bankowego nakłada na banki i instytucje ustawowo upoważnione do udzielania kredytów, obowiązek przekazywania instytucjom utworzonym na podstawie art. 105 ust. 4 Prawa bankowego, w tym BIK informacji o spłacie zobowiązań, ich wygaśnięciu, stwierdzeniu nieistnienia zobowiązań, korekcie ich wysokości oraz o nowo powstałych zobowiązaniach i ich aktualizacji. Informacje takie powinny być przekazywane w terminie 7 dni od wystąpienia okoliczności uzasadniających ich przekazanie, tj. od chwili wystąpienia zdarzenia, które rodzi obowiązek ich przekazania. Przekazane informacje mogą być wykorzystywane przez wskazane instytucje w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Takie przekazanie danych osobowych nie wymaga zgody osoby, której dane dotyczą. Osoba ta nie może również skutecznie sprzeciwić się przekazaniu określonych w ustawie danych osobowych instytucji utworzonej na podstawie art. 105 ust. 4 Prawa bankowego.
BIK może jednak przetwarzać informacje tylko o tych zobowiązaniach, które powstały lub już wygasły. Zgodnie ze stanowiskiem prezentowanym w orzecznictwie sądów administracyjnych, instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego nie mają natomiast prawa przetwarzania informacji dotyczących wniosków kredytowych w sytuacji, gdy nie doszło powstania zobowiązania, a więc np. w sytuacji, gdy bank odmówił udzielania kredytu albo klient zrezygnował z zawarcia umowy (por. wyrok NSA z dnia 29 maja 2025 r., sygn. III OSK 984/22 i wyrok NSA z dnia 13 lutego 2025 r., III OSK 6563/21). Chodzi tu w szczególności o dane, które są przekazywane w związku z tzw. „zapytaniem do BIK”. W ocenie NSA wszelkie regulacje znoszące ochronę danych osobowych muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Zatem w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie i wykonanie umowy produktowej w zakresie zapytania kredytowego (wyrok NSA z dnia 13 lutego 2025 r., III OSK 6563/21). W ocenie NSA jeżeli nie doszło do zawarcia umowy kredytowej ocena zdolności kredytowej i analiza ryzyka kredytowego zostają dokonane (zrealizowane), a tym samym cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniach kredytowych, zostaje osiągnięty i w konsekwencji odpada przesłanka legalizująca dalsze przetwarzanie danych osobowych. W takiej sytuacji dalsze przetwarzanie tych danych osobowych po dokonaniu weryfikacji zdolności kredytowej nie ma podstaw prawnych i narusza wynikającą z art. 5 ust. 1 lit. e RODO zasadę ograniczonego przechowywania (wyrok NSA z dnia 13 lutego 2025 r., III OSK 6563/21). W konsekwencji NSA wyklucza możliwość wykorzystania danych osobowych zgromadzonych w związku z zapytaniami, które nie zakończyły się przyznaniem kredytu do budowy tzw. modeli scoringowych (por. wyrok NSA z dnia 29 maja 2025 r., sygn. III OSK 984/22). Co ciekawe proponowana w 2004 r. nowelizacja Prawa bankowego, która zakładała dodanie do tej ustawy przepisu wprost pozwalającego na przetwarzanie danych dotyczących zapytań banków o osoby, których wnioski o udzielenie kredytu zostały rozpatrzone negatywnie, przez okres jednego roku od dnia otrzymania zapytania, jeszcze na etapie prac legislacyjnych, została uznana za niezgodną z unijnymi regulacjami dotyczącymi ochrony danych osobowych (por. pismo Urzędu Komitetu Integracji Europejskiej nr Min. DH-856/04/tlk z dnia 4 marca 2004 r.).
W tym miejscu warto zauważyć też, że możliwość przetwarzania danych osobowych przez instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego jest ograniczona czasowo. Co do zasady dane mogą być przetwarzane tylko w czasie istnienia zobowiązania w związku z powstaniem którego zostały zebrane. Po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, dane te mogą być przetwarzane tylko wtedy, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki w spełnieniu świadczenia dłuższej niż 60 dni. W takim przypadku dane osobowe mogą być przetwarzane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania. Warunkiem takiego przetwarzania jest jednak uprzednie poinformowanie osoby, której dane dotyczą o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody i upływ. Zgodnie z art. 105 a ust. 3 Prawa bankowego przetwarzanie danych osobowych w ten sposób może rozpocząć się dopiero po upływie 30 dni od poinformowania osoby, której dane dotyczą o takim zamiarze. Dodatkowo zarówno banki, jak i instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego mogą przez okres 12 lat przetwarzać dane osobowe do tworzenia wewnętrznych metod i modeli biznesowych. BIK zastrzega sobie także prawo do przetwarzania zgromadzonych informacji w celu rozpatrywania reklamacji i zgłoszonych roszczeń do momentu ich przedawnienia, jednak nie dłużej niż przez 6 lat od czasu wygaśnięcia zobowiązania (https://www.bik.pl/zgoda-na-przetwarzanie-danych). W innych przypadkach przetwarzanie danych osobowych po wygaśnięciu zobowiązania możliwe jest jedynie na podstawie zgody osoby, której dane dotyczą. Na swoich stronach internetowych BIK informuje, że w przypadku wyrażenia zgody, informacje o danym zobowiązaniu mogą być przetwarzane do celów oceny ryzyka kredytowego przez maksymalnie 5 lat, od dnia całkowitej spłaty danego kredytu czy pożyczki (https://www.bik.pl/zgoda-na-przetwarzanie-danych).
Grzegorz Lubeńczuk
Kancelaria Wyrzykowscy
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej, podatkowej ani jakiejkolwiek innej formy doradztwa. Wszelkie przedstawione w nim treści wyrażają osobiste poglądy autora oraz jego wiedzę na temat omawianych zagadnień. Autor ani wydawca nie ponoszą odpowiedzialności za ewentualne skutki wynikające z zastosowania się do informacji zawartych w artykule bez konsultacji z odpowiednim specjalistą.