NSA potwierdził, że bank nie może przetwarzać danych osoby, której odmówił kredytu

Nie można przetwarzać danych wnioskodawcy o kredyt, jeżeli nie doszło do zawarcia umowy klienta z bankiem – potwierdził NSA w wyroku z 13 lutego 2025 r.

Naczelny Sąd Administracyjny oddalił skargę kasacyjną Alior Banku i Biura Informacji Kredytowej od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie, który utrzymał decyzję Prezesa UODO nakazującą bankowi zaprzestanie przetwarzania danych niedoszłego klienta. Sądy zgodziły się zatem z Prezesem UODO, że przetwarzanie danych w zakresie oceny zdolności kredytowej i analizy ryzyka kredytowego, związane z zapytaniami, które nie zakończyły się przyznaniem kredytu, nie może być stosowane w związku z art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora) oraz art. 105a Prawa bankowego. A takie podstawy wskazywali skarżący.

Sprawa ta była związana z decyzją Prezesa UODO wydaną po przeprowadzeniu postępowania wszczętego na skutek skargi osoby, która wnioskowała o kredyt w banku, ale go nie dostała. Mimo to bank nadal przetwarzał jej dane osobowe, pozyskane w celu oceny zdolności kredytowej i oceny ryzyka kredytowego. Organ nadzorczy uznał jednak, że skoro nie doszło do zawarcia umowy kredytowej, to zarówno bank, jak i BIK nie mają podstaw do dalszego przetwarzania danych tej osoby.

Obie instytucje postanowiły zaskarżyć decyzję Prezesa UODO do WSA. Sąd ten jednak przyznał rację organowi nadzorczemu i potwierdził jego argumentację dotyczącą braku podstaw prawnych do przetwarzania danych w tej sprawie.

Wyrok ten trafił do NSA, który oddalił skargi kasacyjne Banku i BIK i utrzymał w mocy wyrok Wojewódzkiego Sądu Administracyjnego i tym samym decyzję Prezesa UODO.

WSA: sygn. II SA/Wa 1982/20

NSA: sygn. III OSK 6563/21

ZSPR.440.1522.2018