UODO wygrywa spór z bankami o przetwarzanie danych klientów

Stało się to w jedenastu sprawach – Prezes UODO wygrał je wszystkie, przy czym NSA uchylił pięć wyroków WSA. Podtrzymał natomiast sześć wyroków WSA, w których argumentacja PUODO została uznana.

Oznacza to, że spór o interpretację art. 105a ust. 3 Prawa bankowego został zakończony.

Chodziło w nim o prawo do przetwarzania danych stanowiących tajemnicę bankową, które dotyczą osób zalegających ze zobowiązaniami wobec banku po wygaśnięciu zobowiązania wynikającego z umowy.

Spór dotyczył tego, kiedy bank (instytucja finansowa) może zareagować i np. przetwarzać dane tej osoby bez jej zgody w BIK. Dane te będą przetwarzane przez instytucje finansowe przez pięć lat od dnia wygaśnięcia zobowiązania. Przetwarzanie tych danych wymaga dostępu do informacji objętych tajemnicą bankową.

Ustawa stwierdza, że

• po zaistnieniu zwłoki bank musi poinformować osobę, której dane dotyczą, że zamierza przetwarzać jej dane bez jej zgody, oraz poinformować o celu przetwarzania.
• I od tego momentu musi upłynąć 30 dni. W tym czasie były klient banku może spłacić zaległość – wtedy bank nie będzie mógł przetwarzać jego danych objętych tajemnicą bankową.

Argumentacja UODO

W sporze z bankami Prezes UODO dowodził, że obowiązek wykazania, że minęło już 30 dni, leży po stronie banku. Musi więc on udowodnić, że poinformował byłego klienta o zamiarze przetwarzania jego danych bez jego zgody. I musi wykazać, że spełnił wobec klienta obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy.

Bank musi więc być w stanie ustalić datę, w której doszło do poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, bez jej zgody, nie zaś datę, w której hipotetycznie osoba ta mogła zapoznać się z powyższą informacją.

Samo spóźnienie się z wykonaniem zobowiązania przez co najmniej 60 dni nie upoważnia banku do przetwarzania danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Musi minąć jeszcze dodatkowo 30 dni, a ten termin nie biegnie automatycznie (ex lege), lecz dopiero od momentu, w którym konsument zostanie skutecznie poinformowany o zamiarze przetwarzania jego danych. Prezes UODO podkreśla tu niezbędność ustalenia daty. W tym 30-dniowym okresie czasie klient może spłacić zaległości i bank nie będzie mógł przetwarzać danych klienta, wpisując go np. do bazy niesolidnych klientów.

Stanowisko NSA

Zgadzając się z argumentami Prezesa UODO, NSA podkreślił, że choć prawodawca nie zdefiniował użytego w art. 105a ust. 3 ustawy Prawo bankowe pojęcia „poinformować" ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, to nie ma tu mowy o całkowitej dowolności.

Przede wszystkim ustawa stanowi o „poinformowaniu" (forma dokonana), a nie „informowaniu". Określony w ustawie skutek (prawo do przetwarzania danych bez zgody) ma nastąpić po upływie „30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie „poinformowanie" może nastąpić np. osobiście w placówce, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie przewidziały taką formę korespondencji, a bank w tym zakresie działał z podmiotem zewnętrznym).

Dopiero wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia prawidłowe wskazanie początku 30-dniowego terminu, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe (nie jest nim bowiem oświadczenie o dacie wysłania korespondencji wraz z kopią pisma ani nawet data wynikająca z nadania pisma listem poleconym).

Lista rozstrzygniętych spraw

Stanowisko to NSA podtrzymał w sprawach:

• Wyrok NSA III OSK 1428/24, sygnatura decyzji PUODO DS.523.3941.2021
• Wyrok NSA III OSK 1763/24, sygnatura decyzji PUODO DS.523.1980.2022
• III OSK 3059/23, sygnatura decyzji PUODO DS.523.2319.2021
• III OSK 7477/21, sygnatura decyzji PUODO ZSPR.440.1590.2019
• III OSK 2833/22, sygnatura decyzji PUODO DS.523.6082.2020
• III OSK 1575/22, sygnatura decyzji PUODO DS.523.3589.2020
• III OSK 191/23, sygnatura decyzji PUODO DS.523.5493.2020
• III OSK 251/23, sygnatura decyzji PUODO DS.523.445.2021
• III OSK 2672/23, sygnatura decyzji PUODO DS.523.945.2022
• III OSK 2300/23, sygnatura decyzji PUODO DS.523.6935.2021
• III OSK 2714/23, sygnatura decyzji PUODO DS.523.4046.2022

Podstawa prawna

Dz.U.2024.0.1646 t.j. - Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe
Art. 105a. Ust. 3

Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Foto: Freepik