Sprawy dotyczyły Santander Consumer Bank oraz ING Banku Śląskiego i Biura Informacji Kredytowej. Obie wygrane Prezesa UODO mogą znacząco zmienić dotychczasową praktykę branży finansowej.

W pierwszej sprawie (sygn. III OSK 1594/22) sąd potwierdził, że Santander Consumer Bank nie miał prawa przetwarzać danych swojego byłego klienta. Po sprzedaży wierzytelności bank nadal przechowywał dane klienta, powołując się na „uzasadniony interes”, rzekomo związany z możliwością przyszłych roszczeń wobec instytucji.

NSA jednak nie dał się nabrać. Orzekł, że ewentualne, hipotetyczne spory nie mogą być podstawą do dalszego przetwarzania danych osobowych. Nie istnieje bowiem realny cel, który by to uzasadniał. Sąd uznał, że skoro nie toczy się żadne postępowanie, ani nikt nie domaga się roszczeń od banku, to przetwarzanie danych byłego klienta jest nielegalne. Dane należy usunąć. Kropka.

To ważny sygnał dla rynku, w którym zbyt często „uzasadniony interes” bywa nadużywany jako uniwersalna wymówka do trzymania danych tak długo, jak to tylko możliwe, często „na wszelki wypadek”.

Jeszcze dalej idzie druga sprawa (sygn. III OSK 165/22), dotycząca ING Banku Śląskiego i BIK. Tu NSA stanął po stronie osoby, która złożyła zapytanie kredytowe, ale ostatecznie nie zawarła żadnej umowy. Mimo to bank oraz Biuro Informacji Kredytowej wciąż przetwarzały jej dane.

I tu znów Naczelny Sąd Administracyjny nie miał wątpliwości: skoro nie doszło do zawarcia umowy, to nie istnieje zobowiązanie kredytowe, a co za tym idzie, nie ma już celu przetwarzania danych. Badanie zdolności kredytowej to proces, który kończy się wraz z odmową lub rezygnacją. Dalsze przetrzymywanie danych to naruszenie prawa.

NSA wyraźnie odrzucił też argumentację banku i BIK, które próbowały bronić się art. 105a Prawa bankowego. Sąd przypomniał, że ten przepis dotyczy sytuacji, w których doszło do faktycznego zobowiązania, a tutaj nic takiego nie miało miejsca.

Oba wyroki to dobra wiadomość dla każdego, kto kiedykolwiek zaciągał kredyt lub nawet tylko o niego zapytał. Po pierwsze: dane osobowe nie mogą być przetwarzane bez jasnego i konkretnego celu. Po drugie: banki nie mogą ich trzymać „na wszelki wypadek”, ani z myślą o roszczeniach, które być może nigdy nie nadejdą. Po trzecie: jeśli klient nie zawarł umowy, to jego dane mają zniknąć.

To także mocny sygnał dla instytucji finansowych: era luźnej interpretacji „uzasadnionego interesu” się kończy. RODO obowiązuje od lat, ale dopiero teraz, dzięki konsekwencji Prezesa UODO i jasnemu stanowisku NSA, jego zapisy zaczynają być realnie egzekwowane. Pora czyścić bazy, mili państwo!