RODO w bankach a prawa strony albo administratora

Sektor bankowy należy do jednych z najbardziej uregulowanych obszarów gospodarki. Banki jako instytucje zaufania publicznego przetwarzają ogromne ilości danych osobowych, w tym informacje o stanie majątkowym, historii transakcji, zatrudnieniu czy zobowiązaniach finansowych swoich klientów. Wejście w życie Ogólnego Rozporządzenia o Ochronie Danych (RODO) zrewolucjonizowało sposób, w jaki instytucje finansowe muszą podchodzić do prywatności osób fizycznych. Z jednej strony klienci zyskali potężne narzędzia do kontroli swoich danych, z drugiej zaś banki jako administratorzy muszą balansować między restrykcyjnymi wymogami RODO a obowiązkami wynikającymi z krajowego Prawa bankowego oraz przepisów przeciwdziałających praniu pieniędzy (AML). Niniejszy artykuł szczegółowo analizuje relację między prawami strony (klienta) a obowiązkami i uprawnieniami administratora (banku).

1. Bank jako administrator danych osobowych (ADO)

Zgodnie z przepisami RODO, bank uzyskuje status administratora danych osobowych (ADO) w odniesieniu do danych swoich klientów, współkredytobiorców, poręczycieli, a także osób reprezentujących podmioty gospodarcze czy beneficjentów rzeczywistych. Jako administrator, bank decyduje o celach i sposobach przetwarzania danych osobowych. Oznacza to, że ponosi on pełną odpowiedzialność za zgodność procesów przetwarzania z prawem, w tym za wdrożenie odpowiednich środków technicznych i organizacyjnych zapewniających bezpieczeństwo informacji.

Podstawą prawną przetwarzania danych w bankach najczęściej nie jest zgoda klienta, lecz inne przesłanki określone w art. 6 ust. 1 RODO. Należą do nich przede wszystkim:

  • Niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO) – np. prowadzenie rachunku bankowego, obsługa kredytu;
  • Wypełnienie obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO) – np. realizacja obowiązków podatkowych, raportowanie do Generalnego Inspektora Informacji Finansowej (GIIF) czy ocena zdolności kredytowej wynikająca z Prawa bankowego;
  • Prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO) – np. dochodzenie roszczeń, marketing bezpośredni produktów własnych czy zapobieganie oszustwom.

2. Podstawowe prawa klienta banku na gruncie RODO

Osoba, której dane dotyczą (w relacji z bankiem określana często jako strona), posiada szereg uprawnień, które mają na celu zapewnienie jej kontroli nad własną prywatnością. Do najważniejszych praw należą:

Prawo dostępu do danych oraz uzyskania ich kopii (art. 15 RODO)

Klient ma prawo uzyskać od banku potwierdzenie, czy przetwarzane są jego dane osobowe, a jeśli tak, jest uprawniony do uzyskania dostępu do nich oraz otrzymania szczegółowych informacji o celach przetwarzania, kategoriach danych, odbiorcach oraz planowanym okresie ich przechowywania. Bank ma również obowiązek dostarczyć klientowi bezpłatną kopię danych podlegających przetwarzaniu.

Prawo do sprostowania danych (art. 16 RODO)

Jeśli dane klienta są nieaktualne, niekompletne lub błędne (np. błędny adres zamieszkania, literówka w nazwisku, nieaktualne informacje o zatrudnieniu), bank ma obowiązek niezwłocznie je skorygować na wniosek strony.

Prawo do usunięcia danych, czyli „prawo do bycia zapomnianym” (art. 17 RODO)

Jest to jedno z najczęściej podnoszonych praw, ale jednocześnie najbardziej ograniczone w sektorze bankowym. Klient może żądać usunięcia swoich danych m.in. wtedy, gdy nie są one już niezbędne do celów, w których zostały zebrane, lub gdy cofnął zgodę, na której opierało się przetwarzanie. Jak wykażemy w dalszej części, banki bardzo często mają prawny obowiązek odmówić realizacji tego żądania.

Prawo do ograniczenia przetwarzania (art. 18 RODO)

Klient może żądać, aby bank ograniczył przetwarzanie jego danych wyłącznie do ich przechowywania, np. w sytuacji, gdy kwestionuje prawidłowość danych (na czas niezbędny do ich weryfikacji) lub gdy sprzeciwia się usunięciu danych, żądając w zamian ograniczenia ich wykorzystania do celów dowodowych w sądzie.

3. Konflikt RODO z Prawem bankowym – kiedy bank może odmówić usunięcia danych?

Wielu klientów banków uważa, że złożenie wniosku o usunięcie danych osobowych po spłacie kredytu lub zamknięciu konta automatycznie obliguje bank do skasowania wszelkich śladów ich aktywności. Jest to błędne przekonanie. Sektor finansowy podlega szczególnym regulacjom krajowym, które mają pierwszeństwo przed ogólnym prawem do bycia zapomnianym.

Zgodnie z art. 105a ustawy – Prawo bankowe, banki oraz inne instytucje upoważnione do udzielania kredytów mogą przetwarzać informacje stanowiące tajemnicę bankową po wygaśnięciu zobowiązania finansowego bez zgody klienta. Dzieje się tak w dwóch kluczowych przypadkach:

  1. W celu oceny zdolności kredytowej i analizy ryzyka kredytowego – jeśli klient dopuścił się zwłoki w spłacie zobowiązania powyżej 60 dni, a od momentu poinformowania go przez bank o zamiarze przetwarzania tych danych bez jego zgody minęło co najmniej 30 dni. W takim przypadku bank może przetwarzać te dane przez okres do 5 lat od dnia wygaśnięcia zobowiązania.
  2. W celach statystycznych i stosowania metod wewnętrznych – banki mogą przetwarzać dane o spłaconych zobowiązaniach przez okres do 12 lat od dnia wygaśnięcia zobowiązania na potrzeby modeli statystycznych, przy czym dane te powinny być w jak największym stopniu zanonimizowane lub zagregowane, jednak w praktyce często zachowują charakter danych osobowych.

Dodatkowo, przepisy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (AML) nakładają na banki bezwzględny obowiązek przechowywania dokumentów i informacji o transakcjach przez okres 5 lat (z możliwością przedłużenia przez odpowiednie organy), licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem. W tym okresie bank jako administrator ma pełne prawo, a wręcz obowiązek prawny, odmówić realizacji wniosku o usunięcie danych.

4. Rola Biura Informacji Kredytowej (BIK) w kontekście RODO

Biuro Informacji Kredytowej (BIK) nie jest bezpośrednio częścią struktury organizacyjnej żadnego banku, lecz działa jako odrębny administrator danych osobowych, powołany na mocy art. 105 ust. 4 Prawa bankowego. Banki przekazują do BIK informacje o wszystkich nowo otwartych zobowiązaniach kredytowych, a także o przebiegu ich spłaty. Wymiana danych między bankami a BIK odbywa się w sposób ciągły i automatyczny.

W kontekście RODO kluczowe znaczenie ma rozróżnienie dwóch sytuacji:

  • Spłata terminowa: Jeśli klient spłacał kredyt terminowo, dane o tym zobowiązaniu mogą być przetwarzane w BIK po jego wygaśnięciu wyłącznie pod warunkiem, że klient wyraził na to wyraźną zgodę. Zgoda ta może być w każdej chwili wycofana, co skutkuje natychmiastowym zaprzestaniem przetwarzania tych danych w celach oceny zdolności kredytowej (dane stają się niewidoczne dla innych banków badających historię kredytową).
  • Opóźnienia w spłacie: Jeśli wystąpiły opóźnienia przekraczające 60 dni, a bank spełnił obowiązki informacyjne, dane są przetwarzane bez zgody klienta przez okres 5 lat. Wycofanie zgody w tym przypadku jest bezskuteczne, a wniosek o usunięcie danych z BIK zostanie odrzucony zarówno przez bank, jak i przez BIK.

5. Procedura składania wniosku do banku krok po kroku

Aby skutecznie skorzystać ze swoich praw na gruncie RODO, klient powinien przejść przez sformalizowaną procedurę. Choć banki starają się ułatwiać ten proces, warto znać kluczowe etapy:

  1. Przygotowanie wniosku: Wniosek powinien precyzyjnie określać, z jakiego prawa klient chce skorzystać (np. wniosek o dostęp do danych i wydanie kopii, wniosek o cofnięcie zgód marketingowych i usunięcie danych). Warto powołać się na konkretne artykuły RODO.
  2. Wybór kanału komunikacji: Wniosek można złożyć osobiście w placówce banku, wysłać listem poleconym na adres siedziby, przesłać za pośrednictwem bankowości internetowej (jeśli bank udostępnia taki formularz) lub wysłać drogą mailową na adres Inspektora Ochrony Danych (IOD).
  3. Weryfikacja tożsamości: Bank ma bezwzględny obowiązek upewnić się, że osoba składająca wniosek jest rzeczywiście tym, za kogo się podaje. Może to wymagać okazania dowodu osobistego w placówce lub zalogowania się do bezpiecznego systemu bankowości elektronicznej. Jeśli wniosek jest składany tradycyjną pocztą, bank może zażądać dodatkowego potwierdzenia tożsamości w celu ochrony przed wyłudzeniem danych.
  4. Oczekiwanie na decyzję: Bank analizuje wniosek pod kątem prawnym, sprawdzając, czy nie zachodzą przesłanki wyłączające możliwość spełnienia żądania klienta (np. wspomniane wcześniej przepisy Prawa bankowego lub AML).

6. Termin na rozpatrzenie wniosku przez bank

Zgodnie z art. 12 ust. 3 RODO, bank jako administrator danych ma obowiązek udzielić odpowiedzi na wniosek klienta bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od dnia otrzymania żądania. Termin ten ma charakter prekluzyjny dla standardowych spraw.

W sytuacjach szczególnie skomplikowanych lub przy bardzo dużej liczbie wniosków od jednego klienta, termin ten może zostać przedłużony o kolejne dwa miesiące. Bank musi jednak spełnić określone warunki:

  • Poinformować klienta o przedłużeniu terminu w ciągu pierwszego miesiąca od otrzymania wniosku;
  • Podać konkretne i merytoryczne przyczyny opóźnienia.

Jeśli bank nie podejmie żadnych działań w związku z wnioskiem klienta, ma on obowiązek niezwłocznie – najpóźniej w terminie miesiąca – poinformować stronę o powodach niepodjęcia działań oraz o możliwości wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem.

7. Rola organu nadzorczego (UODO) i skarga na bank

Jeżeli bank nie odpowie na wniosek w ustawowym terminie, odmówi jego realizacji bez podania uzasadnionej podstawy prawnej lub w opinii klienta przetwarza dane niezgodnie z przepisami, stronie przysługuje prawo wniesienia skargi do organu nadzorczego. W Polsce funkcję tę pełni Prezes Urzędu Ochrony Danych Osobowych (PUODO).

Postępowanie przed PUODO ma charakter administracyjny. Wniesienie skargi jest wolne od opłat. W treści skargi należy dokładnie opisać stan faktyczny, wskazać, jakich naruszeń dopuścił się bank, oraz załączyć dowody (np. kopię wysłanego wniosku do banku wraz z potwierdzeniem odbioru oraz ewentualną odmowną odpowiedź banku). Organ nadzorczy po przeprowadzeniu postępowania wyjaśniającego może nakazać bankowi spełnienie żądania klienta (np. usunięcie danych lub wydanie ich kopii), nałożyć na bank administracyjną karę pieniężną za naruszenie przepisów RODO, lub wydać ostrzeżenie lub upomnienie.

8. Profilowanie i automatyczne podejmowanie decyzji kredytowych

Niezwykle istotnym aspektem RODO w bankowości jest kwestia profilowania, zwłaszcza przy ocenie zdolności kredytowej. Zgodnie z art. 22 RODO, osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa.

Banki powszechnie stosują systemy scoringowe, które automatycznie oceniają ryzyko kredytowe klienta na podstawie algorytmów. Taka praktyka jest jednak dozwolona pod warunkiem, że jest to niezbędne do zawarcia lub wykonania umowy między klientem a bankiem, jest dozwolone przez prawo krajowe (w Polsce art. 105a Prawa bankowego daje taką podstawę), lub klient ma zapewnione odpowiednie gwarancje ochrony swoich praw.

Do tych gwarancji należy przede wszystkim prawo do uzyskania interwencji ludzkiej ze strony banku. Oznacza to, że jeśli system automatycznie odrzuci wniosek kredytowy klienta, ma on prawo zażądać, aby jego sytuację przeanalizował fizyczny pracownik banku (analityk kredytowy). Klient ma również prawo do przedstawienia własnego stanowiska oraz do zakwestionowania decyzji podjętej przez algorytm.

9. Najczęstsze błędy i ryzyka po stronie klientów i banków

Praktyka stosowania RODO w sektorze bankowym pokazuje, że obie strony procesu popełniają błędy, które mogą prowadzić do sporów prawnych lub kar finansowych.

Błędy po stronie klientów:

  • Żądanie natychmiastowego usunięcia danych z BIK przy posiadaniu aktywnych zaległości w spłacie kredytów;
  • Składanie wniosków bez uprzedniej weryfikacji tożsamości (np. wysyłanie żądań z prywatnych, niezweryfikowanych adresów e-mail bez podpisu kwalifikowanego);
  • Niezrozumienie różnicy między cofnięciem zgody marketingowej (co bank musi zrobić natychmiast) a żądaniem usunięcia danych niezbędnych do celów podatkowych czy AML.

Błędy po stronie banków:

  • Przekraczanie ustawowego, jednomiesięcznego terminu na udzielenie odpowiedzi bez poinformowania klienta o przyczynach zwłoki;
  • Stosowanie zbyt skomplikowanych procedur weryfikacji tożsamości, które zniechęcają klientów do korzystania z ich praw (tzw. utrudnianie realizacji praw);
  • Niewłaściwe szkolenie personelu w placówkach, co skutkuje udzielaniem klientom błędnych informacji na temat przysługujących im uprawnień.

10. Praktyczny przykład: Odmowa kredytu a prawo do wyjaśnienia

Aby lepiej zobrazować dynamikę relacji między klientem a bankiem, warto posłużyć się praktycznym przykładem.

Pan Jan złożył w banku X wniosek o kredyt hipoteczny. Po kilku dniach otrzymał lakoniczną informację systemową o odmowie przyznania finansowania. Pan Jan, powołując się na przepisy RODO oraz Prawa bankowego, skierował do banku pisemny wniosek o wyjaśnienie motywów odmowy oraz o wskazanie, jakie czynniki wpłynęły na negatywną ocenę jego zdolności kredytowej.

Bank X miał obowiązek odpowiedzieć na ten wniosek. Zgodnie z polskim Prawem bankowym (art. 70a), bank na wniosek klienta ma obowiązek przekazać pisemne wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. W odpowiedzi bank wyjaśnił, że negatywna decyzja była wynikiem zbyt niskich dochodów w stosunku do wnioskowanej kwoty oraz negatywnej historii w BIK (opóźnienie w spłacie limitu na karcie kredytowej w innym banku sprzed 2 lat, przekraczające 90 dni).

Dzięki skorzystaniu ze swoich praw, Pan Jan dowiedział się, co dokładnie zaważyło na decyzji. Mógł podjąć kroki w celu spłaty zaległości, a po spełnieniu warunków ustawowych – zawnioskować o usunięcie tamtego wpisu z BIK lub po prostu poczekać na upływ terminów ustawowych, co pozwoliło mu na ponowne, tym razem udane, ubieganie się o kredyt w przyszłości.

11. Podsumowanie

RODO w bankach tworzy skomplikowaną sieć zależności. Choć klienci posiadają silne instrumenty ochrony swojej prywatności, nie mają one charakteru absolutnego. Bank jako administrator danych osobowych dysponuje szeregiem uprawnień i obowiązków ustawowych, które pozwalają mu – a często wręcz nakazują – przetwarzać dane nawet wbrew woli klienta. Kluczem do sprawnego poruszania się w tym obszarze jest zrozumienie relacji między przepisami unijnymi a krajowym Prawem bankowym, rzetelne formułowanie wniosków oraz przestrzeganie procedur weryfikacji tożsamości.