Naczelny Sąd Administracyjny (NSA) potwierdził, że banki nie mogą przetwarzać danych osobowych wnioskodawców o kredyt, jeśli nie doszło do zawarcia umowy kredytowej. Decyzja ta wynika z wyroku z 13 lutego 2025 r., który utrzymuje stanowisko Prezesa Urzędu Ochrony Danych Osobowych (UODO).
Sygnatury orzeczeń:
- WSA: II SA/Wa 1982/20
- NSA: III OSK 6563/21
- Decyzja Prezesa UODO: ZSPR.440.1522.2018
Sądy podtrzymały decyzję Prezesa UODO
NSA oddalił skargę kasacyjną Alior Banku oraz Biura Informacji Kredytowej (BIK) od wyroku Wojewódzkiego Sądu Administracyjnego (WSA) w Warszawie. WSA wcześniej przyznał rację Prezesowi UODO, uznając, że bank nie ma podstaw prawnych do dalszego przetwarzania danych osobowych osoby, która nie otrzymała kredytu.
Podstawy prawne i argumentacja sądu
Sądy stwierdziły, że przetwarzanie danych w celu oceny zdolności kredytowej oraz analizy ryzyka kredytowego, gdy wnioskowany kredyt nie został przyznany, nie może być oparte na art. 6 ust. 1 lit. f RODO (uzasadniony interes administratora) ani na art. 105a Prawa bankowego. Właśnie te przepisy przywoływały Alior Bank i BIK w swoich skargach.
Sprawa miała początek w decyzji Prezesa UODO, wydanej po skardze osoby, która złożyła wniosek o kredyt, lecz go nie otrzymała. Mimo to jej dane osobowe były nadal przetwarzane przez bank i BIK. Organ nadzorczy uznał, że brak zawarcia umowy oznacza brak podstaw do dalszego przetwarzania danych.
Konsekwencje wyroku
Decyzja NSA oznacza, że banki i instytucje finansowe nie mogą przechowywać i przetwarzać danych osobowych osób, które ubiegały się o kredyt, ale nie zostały jego klientami. To kluczowe rozstrzygnięcie w kontekście ochrony danych osobowych i praw konsumentów.
Wyrok NSA stanowi ważny precedens w zakresie ochrony prywatności i przestrzegania przepisów RODO przez instytucje finansowe w Polsce.