Bank odmówił kredytu? Nie może przetwarzać danych wnioskodawcy

Skoro nie doszło do zawarcia umowy kredytowej, to zarówno bank, jak i Biuro Informacji Kredytowej, nie mają podstaw do dalszego przetwarzania danych osoby starającej się o kredyt – stwierdził prezes Urzędu Ochrony Danych Osobowy. Stanowisko to potwierdził w niedawnym wyroku Naczelny Sąd Administracyjny, oddalając skargi kasacyjne.

W wyroku z 13 lutego 2025 r. (sygn. III OSK 6563/21) Naczelny Sąd Administracyjny oddalił skargę kasacyjną Alior Banku i Biura Informacji Kredytowej (BIK) od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie, który jako pierwszy przyznał rację prezesowi UODO.

Postępowanie zainicjowała skarga osoby, która wnioskowała o kredyt w banku, ale go nie dostała. Mimo to bank nadal przetwarzał jej dane osobowe, pozyskane w celu oceny zdolności kredytowej i oceny ryzyka kredytowego. Prezes UODO wydał decyzję nakazującą bankowi zaprzestanie przetwarzania danych niedoszłego klienta. Uznał, że skoro nie doszło do zawarcia umowy kredytowej, to zarówno bank, jak i BIK, nie mają podstaw do dalszego przetwarzania danych tej osoby. Organ nie zgodził się ze skarżącymi, że podstawą będzie art. 6 ust. 1 lit. f rozporządzenia RODO (uzasadniony interes administratora) oraz art. 105a Prawa bankowego.  

Alior Bank i BIK zaskarżyły decyzję prezesa UODO do WSA. Sąd ten jednak w wyroku (sygn. II SA/Wa 1982/20) przyznał rację organowi i zgodził się co do braku podstaw prawnych do przetwarzania danych w tej sprawie. NSA oddalił skargi kasacyjne banku i BIK, a tym samym utrzymał w mocy wyrok WSA i decyzję prezesa UODO.