Przetwarzanie danych osoby ubiegającej się o kredyt po wydaniu przez Bank negatywnej decyzji kredytowej

Zgodnie z Komunikatem UKNF z dnia 21 lipca 2020 roku dotyczącym sposobu realizacji przez banki prawa osób wnioskujących o kredyt do uzyskania wyjaśnień na temat dokonanej oceny zdolności kredytowej możliwość przetwarzania przez Bank danych osobowych osób, którzy otrzymali negatywną decyzję kredytową (w tym treści zapytań w bazie BIK) jest możliwe wyłącznie, pod warunkiem wprowadzenia w ramach swoich regulacji dokładnego określenia okresu retencji takich danych. Wyrażona a piśmie opinia UKNF jest nawiązaniem do zmian, które weszły wżycie z dniem 4 maja 2019 roku dotyczące ustawy Prawo bankowym (art. 70a), zgodnie z którymi:

Banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego.
Wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej.
W przypadku przedsiębiorców bank i inna instytucja ustawowo upoważniona do udzielania kredytów może pobierać opłatę za sporządzenie wyjaśnienia, o którym mowa w ust. 1. Wysokość opłaty powinna być odpowiednia do wysokości kredytu.
Przepisy ust. 1–3 stosuje się odpowiednio do przedsiębiorcy ubiegającego się o pożyczkę pieniężną.

Niezwykle istotne w tym kontekście wydaje się być orzeczenie NSA (I OSK 2567/17 - Wyrok NSA), w myśl którego: „W sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest przesłanek ustawowych legalizujących dalsze przetwarzanie przez bank danych osobowych niedoszłego klienta. Jak podkreślił Sąd, w następstwie złożenia wniosków Bank oraz [...] byli uprawnieni w świetle art. 105a ust. 1 Prawa bankowego do przetwarzania danych osobowych wnioskodawcy w celu oceny jego zdolności kredytowej. W sytuacji jednak, gdy w wyniku podjętych czynności sprawdzających nie doszło do zawarcia umowy kredytowej, odpadła przesłanka legalizująca dalsze przetwarzanie przez Bank i [...] danych osobowych wnioskodawcy.

Zdaniem NSA pomiędzy wnioskodawcą a Bankiem nie zawiązał się bowiem żaden stosunek zobowiązaniowy, który w świetle art. 105a ust. 1 – 6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jego danych osobowych przez Bank. Nie znajduje ono zatem obecnie podstawy w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank, a w szczególności podjęcia obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi. Przepis (dotyczące ochrony danych osobowych) na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas", z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych. Biorąc powyższe pod uwagę, konieczne jest wprowadzenie przez banki w swoich regulacjach wewnętrznych zmian, uwzględniających zarówno stanowisko UKNF, jak również treść zmian w Prawie bankowym.

Jak mogłyby wyglądać takie zapisy w regulacjach wewnętrznych banków? Wydaje się, że powinny one uwzględniać przynajmniej następujące warunki:

Wnioskodawca w okresie 1 miesiąca po wydaniu przez Bank decyzji kredytowej (termin przykładowy) ma prawo do zwrócenia się do Banku z wnioskiem o przekazanie mu w formie pisemnej wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej Wnioskodawcy. Informację o takim uprawnieniu Wnioskodawcy umieszcza się na wniosku kredytowym lub w informacji skierowanej do Wnioskodawcy informującej Wnioskodawcę o treści decyzji kredytowej.
Wyjaśnienie, o którym mowa w pkt. 1, obejmuje informacje na temat czynników, w tym danych osobowych Wnioskodawcy, które miały wpływ na dokonaną ocenę zdolności kredytowej.
W przypadku wydania przez Bank negatywnej decyzji kredytowej, skutkującej brakiem podpisania z Wnioskodawcą umowy kredytowej, lub odstąpienia przez Wnioskodawcę od podpisania umowy, dokumentację dotyczącą podjętej decyzji kredytowej wydanej na podstawie takiego wniosku przechowuje się w Banku przez okres 2 miesięcy, licząc od dnia wydania decyzji kredytowej. Po upływie tego okresu dokumentacja zostaje zniszczona. Dokumenty dołączone przez Wnioskodawcę do wniosku zwracane są Wnioskodawcy. Bank anonimizuje dane osobowe Wnioskodawcy w swoim systemie bankowym, z uwzględnieniem treści art. 105a ust. 6 ustawy Prawo bankowe..
W przypadku wydania przez Bank negatywnej decyzji kredytowej, skutkującej brakiem podpisania z Wnioskodawcą umowy kredytowej, lub odstąpienia przez Wnioskodawcę od podpisania umowy, Bank usuwa z bazy BIK zapytanie sprawdzające dotyczące Wnioskodawcy najpóźniej na koniec czwartego miesiąca, licząc od dnia wydania decyzji.
Postanowienia określone w pkt. 3 oraz 4 powyżej stosuje się również w odniesieniu do innych osób, których dane osobowe były przez Bank przetwarzane w związku z rozpatrywaniem wniosku kredytowego (np. dane osób wskazanych jako Poręczyciele lub dostawcy zabezpieczenia).

Opracował

Arkadiusz Kraus

Inspektor Ochrony Danych