BIK oraz SKOK z nakazem usunięcia danych z zapytania kredytowego

W wyroku z lutego 2022 r. WSA w Warszawie oddalił skargi Biura Informacji Kredytowej S.A. oraz jednej ze Spółdzielczych Kas Oszczędnościowo-Kredytowych od decyzji Prezesa UODO w przedmiocie nakazania usunięcia danych osobowych w zakresie zapytania kredytowego.

Postępowanie administracyjne zainicjowała skarga M. U. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Spółdzielczą Kasę Oszczędnościowo-Kredytową polegające na przetwarzaniu przez SKOK jej danych osobowych bez podstawy prawnej, w tym na udostępnieniu danych osobowych Skarżącej na rzecz Biura Informacji Kredytowej S.A.

W toku prowadzonego postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

Skarżąca wskazała, że w dniu […] sierpnia 2019 r. SKOK wysłała zapytanie kredytowe do BIK, w wyniku czego w bazie BIK przetwarzane są jej dane osobowe dotyczące tego zapytania. Skarżąca podniosła, że nie doszło do zawarcia umowy pomiędzy Skarżącą a SKOK. Wobec powyższego Skarżąca wniosła o usunięcie jej danych osobowych przetwarzanych bez podstawy prawnej (dowód: skarga z dnia […] stycznia 2020 r. i załącznik do ww. skargi).

SKOK pozyskał dane osobowe Skarżącej w celu zbadania jej zdolności kredytowej i oceny ryzyka kredytowego. W związku z niezawarciem przez SKOK umowy pożyczki ze Skarżącą jej dane osobowe będą przetwarzane przez SKOK przez okres 3 lat w celu rozpatrywania reklamacji i obrony przed ewentualnymi roszczeniami, co stanowi prawnie uzasadniony interes SKOK (dowód: wyjaśnienia SKOK z dnia […] marca 2020 r.).

Skarżąca zwróciła się do SKOK o usunięcie jej danych osobowych przetwarzanych w związku ze złożonym wnioskiem kredytowym. Powyższy podmiot odmówił usunięcia danych osobowych Skarżącej (dowód: wyjaśnienia SKOK z dnia […] marca 2020 r. wraz załącznikami).

Subskrypcja 30 dni
Przez 30 dni masz dostęp do zaawansowanej wyszukiwarki:
129
 PLN z VAT
  • Aktualizowanej Bazy Orzeczeń Sądów i Trybunałów
  • Eksperckich tez wybranych orzeczeń
  • Decyzji Polskiego Organu Nadzorczego
  • Decyzji Europejskich Organów Nadzorczych
  • Wytycznych i Opinii EDPB oraz EDPS
  • Konkretnych argumentów w postępowaniu administracyjnym
Wybieram
Subskrypcja 360 dni
Przez 360 dni masz dostęp do wszystkich funkcjonalności subskrypcji 30 dni
1548
 PLN z VAT
  • Dedykowany newsletter zawierający najważniejsze wyroki opublikowane w danym miesiącu wraz z tezami
  • Indywidualnych konsultacji z założycielem serwisu Judykatura.pl w kwestiach związanych z RODO (3 konsultacje w ramach obowiązującej subskrypcji)
  • Oszczędność 15% względem pozostałych pakietów
Wybieram
Subskrypcja 180 dni
Przez 180 dni masz dostęp do wszystkich elementów subskrypcji 90 dni:
774
 PLN z VAT
  • Dedykowany newsletter zawierający najważniejsze wyroki opublikowane w danym miesiącu wraz z tezami
  • Indywidualną konsultację z założycielem serwisu Judykatura.pl w kwestiach związanych z RODO (1 konsultacja w ramach obowiązującej subskrypcji)
  • Oszczędność 10% względem pozostałych pakietów
Wybieram

Według skarżących decyzję administracyjną Prezesa UODO widać już pewna utartą linię orzeczniczą w przedmiotowych sprawach:

1. wyrok WSA z dnia 28 września 2021 r. sygn. akt: II SA/Wa 474/21, uchylający decyzję Prezesa UODO nakazującą BIK usunięcie danych o niezrealizowanym zapytaniu kredytowym (dalej: “Wyrok wrześniowy”),

2. wyrok WSA z 29 października 2021 r. sygn. akt: II SA/Wa 506/21, uchylający decyzję Prezesa UODO nakazującą BIK usunięcie danych o niezrealizowanym zapytaniu kredytowym (dalej: “Wyrok październikowy”),

3. wyrok WSA z 10 listopada 2021 r. sygn. akt: II SA/Wa 868/21, uchylający decyzję Prezesa UODO nakazującą usunięcie danych byłego klienta banku, (dalej: “Wyrok listopadowy”),

4. wyrok WSA z dnia 13 grudnia 2021 r. sygn. akt: II SA/Wa 1528/21, uchylający decyzję Prezesa UODO nakazującą usunięcie danych byłego klienta banku (dalej: “Wyrok grudniowy”).

Jednak w tej sprawie WSA w Warszawie zaprezentowało inny pogląd:

Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy BIK i SKOK mogły przetwarzać dane osobowe osoby fizycznej, pozyskane dla oceny zdolności kredytowej i analizy ryzyka kredytowego, po dokonaniu takiej oceny i analizy oraz w sytuacji, gdy nie doszło w ogólne do zawarcia umowy kredytowej z osobą fizyczną, której dane pozyskano dla dokonania omawianej oceny i analizy.
Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane z zastrzeżeniem art. 104, 105 i 106-106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Zgodnie zaś z art. 105a ust. 4 Prawa bankowego, Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013.

I dalej WSA wskazuje:

Przepisy prawa bankowego nie zezwalają zaś na przetwarzanie omawianych danych osobowych po zakończeniu dokonywania oceny zdolności kredytowej i zakończeniu dokonywania analizy ryzyka – w sytuacji, gdy nie doszło do powstania stosunku zobowiązaniowego wynikającego z zawarcia umowy kredytu.

Przenosząc powyższe na realia niniejszej sprawy jako uprawniona jawiła się konkluzja, że SKOK i BIK były uprawnione do przetwarzania spornych danych wyłącznie w czasie, gdy dokonywano oceny zdolności kredytowej rzeczonej osoby fizycznej i analizy ryzyka udzielenia jej kredytu.

Nawet sam skarżący nie przywołał przepisów, które w jego mniemaniu dawałyby organowi prawną możliwość zwracania się w badanej sprawie o opinię, do Komisji Nadzoru Finansowego. Nadto należy mieć na względzie to, że instytucja ta (KNF) nie jest i nie była stroną niniejszego postępowania, nie posiada statusu np. biegłego sądowego a żadne przepisy prawa nie przewidują nadrzędności opinii KNF nad powszechnie obowiązującymi przepisami prawa.

Nadto nie sposób pomijać faktu, że “scoring” kredytowy to metoda oceny wiarygodności podmiotu – zwykle osoby fizycznej lub przedsiębiorstwa – ubiegającego się o kredyt bankowy. Polega na określeniu wiarygodności kredytowej klienta na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyty i je spłacają (patrz wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 sierpnia 2017 r. sygn. akt II SA/Wa 2221/16). Skoro więc skarżąca po złożeniu zapytania kredytowego nie zawarła umowy kredytowej ze SKOK, to jako uprawniona jawi się konkluzja, iż w przedmiotowej sprawie skarżący powołując się na “scoring”, czynią to w oderwaniu od stanu faktycznego sprawy. Zapytanie objęte niniejszą sprawą nie byłoby bowiem uwzględniane przy “scoringu”.