NSA: Bank i BIK nie mogą przetwarzać danych niedoszłego kredytobiorcy

Naczelny Sąd Administracyjny przyznał rację prezesowi Urzędu Ochrony Danych Osobowych w sporze, który ten toczył z bankiem i Biurem Informacji Kredytowej. Z wyroku wynika, że instytucje finansowe powinny zaprzestać przetwarzania danych osobowych niedoszłego klienta w zakresie wynikającym z zapytania kredytowego.

O korzystnym dla siebie wyroku NSA z 29 maja 2025 r. (sygn. III OSK 984/22) poinformował UODO.

Sprawa zaczęła się 15 grudnia 2020 r. Prezes UODO w wydanej tego dnia decyzji uznał, że skoro nie doszło do zawarcia umowy kredytowej, to zarówno bank, jak i BIK nie mają podstaw do dalszego przetwarzania danych niedoszłego kredytobiorcy. Postępowanie było prowadzone na skutek skargi osoby, która wnioskowała o kredyt, ale ostatecznie do zawarcia umowy nie doszło. Mimo to bank oraz BIK nadal przetwarzały jej dane, pozyskane w celu oceny zdolności kredytowej i ryzyka kredytowego.

Decyzję tę zaskarżył BIK. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 29 października 2021 r. (sygn. II SA/Wa 506/21) przyznał mu rację, uznając, że istnieje podstawa przetwarzania wskazanych danych (art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1-1c Prawa bankowego oraz art. 6 ust. 1 lit. f RODO w zw. z art. 118 Kodeksu cywilnego).

NSA uchylił wyrok WSA i oddalił skargę BIK. Jak relacjonuje UODO, sąd kasacyjny potwierdził, że przetwarzanie danych w zakresie oceny zdolności kredytowej i analizy ryzyka kredytowego, związane z zapytaniami, które nie zakończyły się przyznaniem kredytu, nie może odbywać się w celu budowy tzw. modeli scoringowych. Urząd dodaje, że to kolejna sprawa, w której NSA potwierdził jego stanowisko w sprawie przetwarzania danych niedoszłego klienta banku.

Czytaj także: Deregulacja RODO, czyli z dużej chmury mały deszcz