Kiedy bank może przetwarzać dane byłego klienta? NSA zgadza się z PUODO

Kiedy umowa kredytowa wygasa, bank może przetwarzać dane klienta zalegającego ze spłatą, o ile wcześniej skutecznie powiadomi go o tym zamiarze i odczeka 30 dni. Naczelny Sąd Administracyjny (NSA) potwierdził taką właśnie interpretację art. 105a ust. 3 Prawa bankowego.

Stało się to w jedenastu sprawach – Prezes UODO wygrał je wszystkie, przy czym NSA uchylił pięć wyroków WSA. Podtrzymał natomiast sześć wyroków WSA, w których argumentacja PUODO została uznana.

Oznacza to, że spór o interpretację art. 105a  ust. 3[i] Prawa bankowego został zakończony.

Chodziło w nim o prawo do przetwarzania danych stanowiących tajemnicę bankową, które dotyczą osób zalegających ze zobowiązaniami wobec banku po wygaśnięciu zobowiązania wynikającego z umowy.

Spór dotyczył tego, kiedy bank (instytucja finansowa) może zareagować i np. przetwarzać dane tej osoby bez jej zgody w BIK. Dane te będą przetwarzane przez instytucje finansowe przez pięć lat od dnia wygaśnięcia zobowiązania. Przetwarzanie tych danych wymaga dostępu do informacji objętych tajemnicą bankową.

Ustawa stwierdza, że

• po zaistnieniu zwłoki bank musi poinformować osobę, której dane dotyczą, że zamierza przetwarzać jej dane bez jej zgody, oraz poinformować o celu przetwarzania.
• I od tego momentu musi upłynąć 30 dni. W tym czasie były klient banku może spłacić zaległość – wtedy bank nie będzie mógł przetwarzać jego danych objętych tajemnicą bankową.

W sporze z bankami Prezes UODO dowodził, że obowiązek wykazania, że minęło już 30 dni, leży po stronie banku. Musi więc on udowodnić, że poinformował byłego klienta o zamiarze przetwarzania jego danych bez jego zgody. I musi wykazać, że spełnił wobec klienta obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy.

Bank musi więc być w stanie ustalić datę, w której doszło do poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, bez jej zgody, nie zaś datę, w której hipotetycznie osoba ta mogła zapoznać się z powyższą informacją

Samo spóźnienie się z wykonaniem zobowiązania przez co najmniej 60 dni nie upoważnia banku do przetwarzania danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Musi minąć jeszcze dodatkowo 30 dni, a ten termin nie biegnie automatycznie (ex lege), lecz dopiero od momentu, w którym konsument zostanie skutecznie poinformowany o zamiarze przetwarzania jego danych. Prezes UODO podkreśla tu niezbędność ustalenia daty. W tym 30-dniowym okresie czasie klient może spłacić zaległości i bank nie będzie mógł przetwarzać danych klienta, wpisując go np. do bazy niesolidnych klientów.

Zgadzając się z argumentami Prezesa UODO, NSA podkreślił, że choć prawodawca nie zdefiniował użytego w art. 105a ust. 3 ustawy Prawo bankowe pojęcia „poinformować” ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, to nie ma tu mowy o całkowitej dowolności.

Przede wszystkim ustawa stanowi o „poinformowaniu” (forma dokonana), a nie „informowaniu”. Określony w ustawie skutek (prawo do przetwarzania danych bez zgody) ma nastąpić po upływie „30 dni od poinformowania tej osoby przez bank”, a nie od np. wysłania jej informacji. Takie „poinformowanie” może nastąpić np. osobiście w placówce, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie przewidziały taką formę korespondencji, a bank w tym zakresie działał z podmiotem zewnętrznym).

Dopiero wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia prawidłowe wskazanie początku 30-dniowego terminu, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe (nie jest nim bowiem oświadczenie o dacie wysłania korespondencji wraz z kopią pisma ani nawet data wynikająca z nadania pisma listem poleconym).

Stanowisko to NSA podtrzymał w sprawach:

1. Wyrok  NSA III OSK 1428/24, sygnatura decyzji PUODO DS.523.3941.2021
2. Wyrok  NSA III OSK 1763/24, sygnatura decyzji PUODO DS.523.1980.2022
3. III OSK 3059/23, sygnatura decyzji PUODO DS.523.2319.2021
4. III OSK 7477/21, sygnatura decyzji PUODO ZSPR.440.1590.2019
5. III OSK 2833/22, sygnatura decyzji PUODO DS.523.6082.2020
6. III OSK 1575/22, sygnatura decyzji PUODO DS.523.3589.2020
7. III OSK 191/23, sygnatura decyzji PUODO DS.523.5493.2020
8. III OSK 251/23, sygnatura decyzji PUODO DS.523.445.2021
9. III OSK 2672/23, sygnatura decyzji PUODO DS.523.945.2022
10. III OSK 2300/23, sygnatura decyzji PUODO DS.523.6935.2021
11. III OSK 2714/23, sygnatura decyzji PUODO DS.523.4046.2022