Naczelny Sąd Administracyjny 10 lipca 2025 roku wydał dwa wyroki, które wzmacniają pozycję obywateli w zakresie ochrony danych osobowych wobec instytucji finansowych. W obu sprawach NSA uwzględnił skargi kasacyjne wniesione przez Prezesa Urzędu Ochrony Danych Osobowych (UODO), uznając za nieuprawnione dalsze przetwarzanie danych osób, które nie są już – lub nigdy nie były – klientami banków.
Pierwszy wyrok dotyczył sprawy byłego klienta Santander Consumer Bank, którego dane były nadal przetwarzane po sprzedaży jego wierzytelności. Bank uzasadniał ten fakt „uzasadnionym interesem”, polegającym na możliwości pojawienia się roszczeń – zarówno ze strony klienta, jak i innych podmiotów. Prezes UODO uznał takie przetwarzanie za bezpodstawne i nakazał usunięcie danych.
Naczelny Sąd Administracyjny podzielił to stanowisko, wskazując, że hipotetyczne, przyszłe roszczenia – których istnienie nie zostało wykazane – nie stanowią wystarczającej przesłanki do dalszego przetwarzania danych osobowych. W ocenie sądu, brak realnego celu przetwarzania oznacza konieczność usunięcia danych byłego klienta.
Druga sprawa dotyczyła sytuacji, w której osoba ubiegała się o kredyt, ale nie doszło do zawarcia umowy. Mimo to jej dane, związane z tzw. zapytaniem kredytowym, były nadal przetwarzane przez ING Bank Śląski oraz Biuro Informacji Kredytowej (BIK). Prezes UODO wydał decyzję nakazującą usunięcie tych danych, którą początkowo uchylił Wojewódzki Sąd Administracyjny. NSA uchylił jednak wyrok WSA i przyznał rację UODO.
Sąd jednoznacznie stwierdził, że skoro nie doszło do zawarcia umowy kredytowej, to nie istnieje żaden cel – np. badanie zdolności kredytowej – który uzasadniałby dalsze przechowywanie takich informacji. W związku z tym zarówno bank, jak i BIK, zobowiązani są do ich usunięcia.
NSA zwrócił uwagę na niewłaściwe powoływanie się przez bank i BIK na przepisy art. 105a ustawy – Prawo bankowe. Artykuł ten reguluje kwestie przetwarzania informacji objętych tajemnicą bankową w trakcie trwania zobowiązania lub po jego zakończeniu. Jednak – jak wskazano – w analizowanej sprawie zobowiązanie nigdy nie powstało. Tym samym nie można uznać, że bank miał prawo do dalszego przechowywania danych niedoszłego klienta.
Oba wyroki mają kluczowe znaczenie dla ochrony prywatności obywateli w relacji z instytucjami finansowymi. Potwierdzają one, że banki nie mogą zatrzymywać danych „na zapas” ani przetwarzać ich po zakończeniu relacji z klientem – bez jasno zdefiniowanego i zgodnego z prawem celu.
Stanowisko NSA jest jasne: przetwarzanie danych osobowych musi być oparte na konkretnych i wykazanych przesłankach, a nie na ogólnikowych argumentach o potencjalnych roszczeniach. Otwiera to drogę kolejnym osobom, które chcą egzekwować swoje prawo do bycia zapomnianym przez instytucje finansowe.
Źródło: IP UODO
