RODO mbank: podstawa prawna i praktyka w praktyce prawnej

W dobie cyfryzacji usług finansowych ochrona danych osobowych stała się jednym z kluczowych aspektów działalności instytucji bankowych. Każda operacja, od założenia konta, przez analizę zdolności kredytowej, aż po windykację należności, wiąże się z przetwarzaniem informacji o klientach. W tym kontekście relacja na linii klient – mBank stanowi doskonałe studium przypadku dla analizy zderzenia przepisów ogólnego rozporządzenia o ochronie danych (RODO) z krajowym Prawem bankowym. Niniejsza publikacja ma na celu szczegółowe omówienie podstaw prawnych, procedur oraz praktycznych aspektów realizacji praw osób, których dane dotyczą, w relacji z jedną z największych instytucji finansowych w Polsce.

1. Teza publikacji: Równowaga między prawem bankowym a RODO

Główną tezą niniejszej analizy jest stwierdzenie, że relacja pomiędzy przepisami RODO a specyficznymi regulacjami prawa bankowego nie ma charakteru wykluczającego, lecz komplementarny. Instytucje finansowe, takie jak mBank, muszą realizować obowiązek ochrony danych osobowych przy jednoczesnym spełnianiu rygorystycznych wymogów dotyczących stabilności systemu finansowego, przeciwdziałania praniu pieniędzy (AML) oraz oceny zdolności kredytowej. Dla praktyków prawa kluczowe jest zrozumienie, że prawo do ochrony danych osobowych nie ma charakteru absolutnego i musi być zawsze interpretowane w kontekście innych obowiązków prawnych nałożonych na banki.

2. Na czym polega problem ochrony danych osobowych w sektorze bankowym

Sektor bankowy przetwarza ogromne ilości danych wrażliwych, w tym informacje o stanie majątkowym, historii transakcji, zobowiązaniach, a także dane biometryczne czy geolokalizacyjne. Problem polega na tym, że klienci często utożsamiają wejście w życie RODO z nieograniczonym prawem do żądania usunięcia ich danych (tzw. prawo do bycia zapomnianym). W praktyce bankowej, w tym w relacji z mBank, takie żądanie napotyka na opór wynikający z innych przepisów prawa. Banki są zobowiązane do przechowywania danych klientów przez określone lata po zakończeniu umowy, np. w celach podatkowych, dochodzenia roszczeń czy przeciwdziałania przestępczości finansowej. Konflikt ten generuje liczne spory przed organem nadzorczym oraz sądami administracyjnymi.

3. Kogo dotyczy problem? Klienci, poręczyciele, byli klienci

Przetwarzanie danych przez mBank dotyczy szerokiego kręgu podmiotów. Są to nie tylko aktywni posiadacze rachunków osobistych czy kredytobiorcy, ale również wnioskodawcy, których umowa nie doszła do skutku, poręczyciele i współkredytobiorcy, a także byli klienci, których umowy wygasły, ale ich dane nadal widnieją w bazach banku oraz Biura Informacji Kredytowej (BIK). Każda z tych grup ma inną pozycję prawną i inny zakres uprawnień w zakresie żądania usunięcia lub ograniczenia przetwarzania danych.

4. Podstawa prawna: RODO a Prawo bankowe

Przetwarzanie danych osobowych przez mBank opiera się na kilku podstawowych filarach prawnych określonych w art. 6 ust. 1 RODO. Po pierwsze, art. 6 ust. 1 lit. b RODO, czyli niezbędność do wykonania umowy. Po drugie, art. 6 ust. 1 lit. c RODO, czyli wypełnienie obowiązku prawnego ciążącego na administratorze. Obowiązek ten wynika m.in. z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (AML), która nakłada obowiązek przechowywania danych przez okres 5 lat. Po trzecie, art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora, jakim jest np. dochodzenie roszczeń. Kluczowym dopełnieniem tych regulacji jest Ustawa z dnia 29 sierpnia 1997 r. – Prawo bankowe, w szczególności art. 105a, który reguluje zasady przetwarzania informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wobec banku.

5. Prawa klienta banku na grintent RODO

Każdemu klientowi mBanku przysługuje szereg praw, których realizacja bywa przedmiotem skomplikowanych analiz prawnych. Prawo do bycia zapomnianym (art. 17 RODO) pozwala żądać usunięcia danych, jeśli nie ma już podstawy prawnej do ich przetwarzania. Jednak bank ma obowiązek odmówić usunięcia danych, jeśli ich dalsze przetwarzanie jest niezbędne do wywiązania się z obowiązku prawnego lub do ustalenia, dochodzenia lub obrony roszczeń. Kolejnym prawem jest prawo dostępu do danych i uzyskania ich kopii (art. 15 RODO). Klient ma prawo uzyskać od mBanku potwierdzenie, czy przetwarzane są jego dane osobowe, a także otrzymać ich szczegółową kopię. Istotne jest również prawo do wyjaśnienia oceny zdolności kredytowej zgodnie z art. 105a ust. 1a Prawa bankowego, co stanowi realizację prawa do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu.

6. Procedura krok po kroku: Jak złożyć wniosek RODO do mBanku

Aby skutecznie wyegzekwować swoje prawa, należy przejść przez sformalizowaną procedurę. Krok pierwszy to przygotowanie wniosku. Wniosek powinien precyzyjnie określać tożsamość wnioskodawcy oraz zakres żądania. Krok drugi to wybór kanału komunikacji – wniosek można złożyć drogą elektroniczną, listownie lub osobiście. Krok trzeci to weryfikacja tożsamości przez bank. Krok czwarty to zachowanie terminów. Zgodnie z art. 12 ust. 3 RODO, mBank ma obowiązek udzielić odpowiedzi bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin ten może zostać przedłużony o kolejne dwa miesiące, o czym bank musi poinformować klienta przed upływem pierwszego miesiąca.

7. Obowiązki mBanku jako administratora danych osobowych

Jako administrator danych osobowych, mBank obciążony jest szeregiem obowiązków o charakterze technicznym i organizacyjnym. Musi on wdrożyć odpowiednie środki bezpieczeństwa, prowadzić rejestr czynności przetwarzania, a także powołać Inspektora Ochrony Danych (IOD). Kluczowym obowiązkiem jest również zgłaszanie wszelkich naruszeń ochrony danych osobowych do właściwego organu nadzorczego w ciągu 72 godzin od wykrycia incydentu, chyba że jest mało prawdopodobne, by naruszenie to skutkowało ryzykiem naruszenia praw lub wolności osób fizycznych.

8. Najczęstsze błędy i ryzyka w sporach z bankami

W praktyce prawnej najczęstsze błędy popełniane przez klientów oraz ich pełnomocników to brak precyzji w żądaniu, nieuwzględnienie specyfiki BIK oraz ignorowanie procedur autoryzacyjnych. Składanie ogólnych wniosków typu "żądam usunięcia wszystkich moich danych" zmusza bank do odmowy ze względu na obowiązki ustawowe. Podobnie, próby usunięcia historii negatywnych wpisów w BIK w sytuacji, gdy opóźnienie w spłacie kredytu przekroczyło 60 dni, a od momentu wygaśnięcia zobowiązania nie minęło jeszcze 5 lat, są bezskuteczne, gdyż bank ma ustawowe prawo przetwarzać te dane bez zgody klienta.

9. Praktyczny przykład (Case Study)

Jan Kowalski spłacił kredyt gotówkowy w mBanku w styczniu 2023 roku. Wszystkie raty były regulowane terminowo. W marcu 2024 roku pan Jan złożył pisemny wniosek do mBanku o usunięcie jego danych osobowych z bazy bankowej oraz z bazy BIK, powołując się na art. 17 RODO. Bank ma obowiązek przeanalizować ten wniosek. W zakresie marketingu bank musi niezwłocznie zaprzestać przetwarzania danych. W zakresie BIK, ponieważ kredyt był spłacany terminowo, dalsze przetwarzanie danych wymaga zgody klienta. Skoro pan Jan złożył wniosek o usunięcie danych, mBank ma obowiązek w terminie 14 dni poinformować BIK o konieczności usunięcia tych danych. Jednak w zakresie bazy własnej banku, mBank nie może całkowicie usunąć danych pana Jana, gdyż musi je przechowywać przez okres przedawnienia ewentualnych roszczeń cywilnych oraz ze względów podatkowych.

10. Skutki prawne naruszeń i rola organu nadzorczego (UODO)

W przypadku, gdy mBank nie wywiąże się ze swoich obowiązków, np. przekroczy ustawowy termin na odpowiedź na wniosek, bezprawnie odmówi usunięcia danych lub dopuści się wycieku danych, klientowi przysługuje prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych (PUODO). Jako organ nadzorczy, PUODO posiada szerokie uprawnienia władcze. Może nakazać bankowi dostosowanie operacji przetwarzania do przepisów RODO, a w skrajnych przypadkach nałożyć administracyjną karę pieniężną. Ponadto, niezależnie od postępowania przed organem, klient ma prawo do wytoczenia powództwa przed sądem powszechnym o zadośćuczynienie.

11. Podsumowanie i rekomendacje dla praktyków

Praktyka prawna w obszarze sporów RODO z mBankiem wymaga precyzyjnego operowania pojęciami z zakresu prawa ochrony danych oraz prawa bankowego. Każdy wniosek kierowany do banku powinien być poparty rzetelną analizą stanu faktycznego. Kluczem do szybkiego załatwienia sprawy jest korzystanie z oficjalnych kanałów komunikacji banku oraz jasne formułowanie żądań. Pamiętajmy, że banki działają w granicach prawa i często ich odmowa usunięcia danych nie wynika ze złej woli, lecz z bezwzględnych obowiązków nałożonych przez ustawodawcę w celu zapewnienia bezpieczeństwa obrotu finansowego.