Bank nie może swobodnie przetwarzać danych swojego dłużnika

Spór o interpretację art. 105a ust. 3 prawa bankowego został zakończony. Chodziło w nim o prawo do przetwarzania danych stanowiących tajemnicę bankową, które dotyczą osób zalegających ze zobowiązaniami wobec banku, po wygaśnięciu zobowiązania wynikającego z umowy. Ustalenia wymagało, kiedy bank (instytucja finansowa) może zareagować i przetwarzać dane tej osoby bez jej zgody w BIK (Biuro Informacji Kredytowej).

Przetwarzanie danych w BIK

Banki mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, bez zgody osoby, której te informacje dotyczą. Jest to możliwe na podstawie art. 105a ust. 3 ustawy prawo bankowe, gdy taka osoba:

• nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, a
• po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Bank w konsekwencji ma prawo przetwarzać dane w Biurze Informacji Kredytowej przez okres 5 lat od wygaśnięcia zobowiązania. Uprzednio jednak bank:

• po zaistnieniu zwłoki musi poinformować osobę, której dane dotyczą, iż zamierza przetwarzać jej dane bez jej zgody, oraz poinformować o celu przetwarzania,
• od tego momentu musi upłynąć 30 dni; w tym czasie były klient banku może spłacić zaległość – wtedy bank nie będzie mógł przetwarzać jego danych objętych tajemnicą bankową.

Stanowisko Prezesa Urzędu Ochrony Danych Osobowych

Według Prezesa UODO obowiązek wykazania, iż minął już wskazany termin 30 dni, jest obowiązkiem banku. To bank musi udowodnić, iż poinformował byłego klienta o zamiarze przetwarzania jego danych bez jego zgody i musi wykazać, iż spełnił wobec klienta obowiązek określony w art. 105a ust. 3 prawa bankowego – tj. iż poinformował skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową bez jego zgody po wygaśnięciu zobowiązania wynikającego z umowy.

Ważne! Zgodnie ze stanowiskiem Prezesa UODO samo spóźnienie się z wykonaniem zobowiązania przez co najmniej 60 dni nie upoważnia banku do przetwarzania danych osobowych na warunkach określonych w art. 105a ust. 3 prawa bankowego. Muszą minąć dodatkowe 30 dni, a termin ten nie biegnie automatycznie, ale dopiero od momentu, w którym konsument zostanie skutecznie poinformowany o zamiarze przetwarzania jego danych.

Zgodnie m.in. z wyrokiem Naczelnego Sądu Administracyjnego z 17 grudnia 2024 r. w sprawie III OSK 1428/24: choć prawodawca nie zdefiniował użytego w art. 105a ust. 3 ustawy prawo bankowe pojęcia „poinformować” ani nie stworzył w tym zakresie żadnych szczególnych wymagań formalnych, to nie ma tu mowy o całkowitej dowolności.

Podstawa prawna: