NSA: Po wygaśnięciu zobowiązania, informacja o wpisie na listę BIK wymaga zgody klienta

Rzut z ekranu aplikacji bankowej nie pozwala na bezsporne przyjęcie, że powiadomienie o przetwarzaniu danych stanowiących tajemnicę bankową było rzeczywiście wysłane do klientki - orzekł Naczelny Sąd Administracyjny, przyznając rację inspektorowi ochrony danych osobowych. Po spłacie kredytu bank musi powiadomić o zamiarze przetwarzania danych - dodał.

Linia orzecznicza jest w podobnych sprawach wypracowana, a mimo to banki polemizują z inspektorem ochrony danych i skarżą decyzje do sądów administracyjnych.

Zobowiązanie wygasło

W 2009 r. Bank PKO BP zawarł umowę kredytową z Natalią G. Po wygaśnięciu zobowiązania, czyli spłacie kredytu trzy lata później zaczął przetwarzać dane klientki, jako mało wiarygodnej kredytobiorczyni. Przesłał jej dane do Biura Informacji Kredytowej i udostępnił, gdyż Natalia G. spóźniła się ze spłatami o ponad 60 dni.

Dane osobowe Natalii G. zostały przekazane do BIK S.A. na podstawie umowy w sprawie zbierania i udostępniania informacji zawartej pomiędzy BIK S.A., a PKO SA. W bazie BIK S.A.to zobowiązanie figuruje jako rachunek zamknięty, z datą zamknięcia z października 2012 r., z wycofaną zgodą klienta na przetwarzanie danych po wygaśnięciu zobowiązania oraz ze wskaźnikiem "warunki spełnione".

Spłata kredytu nie powoduje wykreślenia z BIK

Z pomocą klientce przyszedł Generalny Inspektor Ochrony Danych osobowych (obecnie UODO). Nakazał bankowi zaprzestanie niedozwolonych praktyk, gdyż klientka nie wyraziła zgody na przetwarzanie danych osobowych. Konsekwencją umieszczenia danych w BIK była niemożność zaciągania nowych kredytów w innych instytucjach i prosiła o usunięcie jej nazwiska z bazy Biura.

Bank przekonywał, że wysłał do Natalii G. zawiadomienie o przetwarzaniu danych. Wobec tego Bank złożył skargę do Wojewódzkiego Sądu Administracyjnego, twierdząc, że obowiązek informacyjny spełnił.

WSA w Warszawie w wyroku z 31 maja 2017 r. oddalił skargę banku. Sąd stwierdził, że bank nie przedstawił dowodu skutecznego doręczenia klientce spornej korespondencji ani dowodu jej nadania, bowiem za fakt nie może zostać uznany niespersonalizowany wzór dokumentu oraz ekstrakt z pliku wygenerowanego z aplikacji bankowej.

W tym zakresie samo oświadczenie banku, jak i wzór pisma kierowanego do Klientów – jak twierdzi bank również do skarżącej, jest niewystarczające.

Czytaj: NSA: "Segmentowanie" klienta banku jest nielegalne>>
 

Z wyrokiem nie zgodził się bank i złożył skargę kasacyjną, kwestionując wykładnię art. 105 a) ust. 3 ustawy Prawo bankowe.

Według tego przepisu banki, instytucje oraz podmioty, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem.

NSA: skan ekranu - to mało

Naczelny Sąd Administracyjny oddalił skargę banku. Sąd II instancji nie dopatrzył się naruszenia prawa przez WSA. Zdaniem NSA słusznie sąd I instancji orzekł, że zrzut ekranu z aplikacji potwierdzający datę wysyłki powiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązania nie jest wystarczający do tego, by przyjąć, iż takie powiadomienie zostało doręczone Natalii G. A ponadto, że miała ona możliwość zapoznania się z jego treścią (art. 61 § 1 i § 2 k.c.).

W rozpatrywanej sprawie, Natalia G.. dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy kredytowej zawartej z Bankiem. Okoliczność ta nie jest sporna między stronami. Nie jest również sporne, że zobowiązanie wygasło. W związku z tym przekazanie przez bank jej danych do Biura Informacji Kredytowej po wygaśnięciu zobowiązania wymagało powiadomienia jej o zamiarze przetwarzania danych oraz upływu 30 dni od poinformowania takiej osoby o zamiarze przetwarzania jej danych osobowych, stanowiących tajemnicę bankową.

Czytaj: Banki będą mogły korzystać z dowolnych danych>>

Jak zaznaczył sędzia sprawozdawca Dariusz Chaciński, powiadomienie musi być doręczone osobie zainteresowanej w taki sposób, by mogła zapoznać się z jego treścią. Od tego zależy uprawnienie banku do przetwarzania danych osobowych. W omawianej sprawie wątpliwości te istnieją, ponieważ tzw. zrzut z ekranu aplikacji bankowej nie pozwala na bezsporne przyjęcie, że powiadomienie z dnia 26 kwietnia 2011 r. było rzeczywiście wysłane do strony zainteresowanej.

Sygnatura akt I OSK 2414/17, wyrok z 27 sierpnia 2019 r.