Zgodnie z art. 105 a ust. 3 prawa bankowego banki mogą przetwarzać informacje dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Bank może więc przetwarzać dane osób zalegających ze spłatą, bez ich zgody, ale tylko po spełnieniu określonych wymogów prawnych. Oznacza to, że opóźnienie w spłacie zobowiązania (np. rat kredytu) przekraczające 60 dni nie daje bankowi automatycznego prawa do przetwarzania danych klienta na zasadach określonych w art. 105 a ust. 3 Prawa bankowego. Zanim to będzie możliwe, bank musi skutecznie poinformować klienta o zamiarze przetwarzania jego danych osobowych bez zgody oraz celu ich przetwarzania.
Przepis ten był przedmiotem licznych sporów, do czasu, gdy stanowisko Prezesa UODO podzielił Naczelny Sąd Administracyjny. Prezes UODO wykazał, że to na banku spoczywa obowiązek udowodnienia, iż upłynęło wymagane 30 dni od momentu poinformowania klienta o zamiarze przetwarzania jego danych bez zgody, a informacja o planowanym przetwarzaniu danych objętych tajemnicą bankową po wygaśnięciu zobowiązania została skutecznie przekazana byłemu klientowi. Naczelny Sąd Administracyjny orzekł zgodnie z decyzjami Prezesa Urzędu Ochrony Danych Osobowych aż w 11 wyrokach. Są to następujące orzeczenia: III OSK 1428/24 (decyzja Prezesa UODO DS.523.3941.2021), III OSK 1763/24 (decyzja Prezesa UODODS.523.1980.2022), III OSK 3059/23 (decyzja Prezesa UODODS.523.2319.2021), III OSK 7477/21 (decyzja Prezesa UODOZSPR.440.1590.2019), III OSK 2833/22 (decyzja Prezesa UODODS.523.6082.2020), III OSK 1575/22 (decyzja Prezesa UODODS.523.3589.2020), III OSK 191/23 (decyzja Prezesa UODODS.523.5493.2020), III OSK 251/23 (decyzja Prezesa UODO DS.523.445.2021), III OSK 2672/23 (decyzja Prezesa UODO DS.523.945.2022), III OSK 2300/23 (decyzja Prezesa UODO DS.523.6935.2021), III OSK 2714/23 (decyzja Prezesa UODO DS.523.4046.2022).
NSA zwraca uwagę na fakt, iż zawarta w przepisach czynność ,,poinformowania”, jest zakończona i nie jest równoznaczna z ,,informowaniem”. Takie „poinformowanie” może nastąpić np. osobiście w placówce, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie przewidziały taką formę korespondencji, a bank w tym zakresie działał z podmiotem zewnętrznym). Zatem nie wystarczy, że bank będzie znał datę wysłania korespondencji do klienta – musi on także udowodnić, że korespondencja została mu doręczona, a więc że klient miał możliwość się z nią zapoznać. Dopiero od momentu skutecznego poinformowania zaczyna biec 30-dniowy okres, po którego upływie bank może przetwarzać dane klienta, jeżeli ten nie ureguluje zaległości.
Zdaniem doktryny 30-dniowy termin na poinformowanie o zamiarze przetwarzania informacji przez bank ma na celu ochronę klienta poprzez umożliwienie mu spłaty zadłużenia oraz zapobieżeniu przetwarzania negatywnych informacji na jego temat.
Przetwarzanie informacji kredytowych może się odbywać jednak przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania (art. 105 a ust. 5 prawa bankowego).
Autor: Aleksandra Ziętara – Młodszy Prawnik