NSA wyjaśnia, jak zrealizować dodatkowy obowiązek informacyjny banku

Banki, instytucje oraz inne podmioty finansowe wskazane w art. 105a Prawa bankowego mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, dotyczące osób fizycznych - po wygaśnięciu umowy. Dane te są przetwarzane bez zgody podmiotu danych, gdy osoba ta:

• nie wykonała zobowiązania lub

• dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia

Realizacji tego obowiązku informacyjnego dotyczy niedawny wyrok Naczelnego Sądu Administracyjnego. W sprawie rozpatrywanej przez NSA klient banku dopuścił się ponad 60-dniowej zwłoki w spłacie zobowiązania. Bank poinformował go w wezwaniu do zapłaty informację o zamiarze skorzystania przez bank z prawa do przetwarzania informacji stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody klienta.

W odpowiedzi klient wniósł skargę do Prezesa Urzędu Ochrony Danych Osobowych, w której zażądał aktualizacji swoich danych osobowych w BIK. Zarzucił przy tym, że bank nie spełnił ww. obowiązku informacyjnego zgodnie z art. 105a ust. 3 Prawa bankowego. W toku postępowania Prezes UODO ustalił, że bank poinformował klienta o zamiarze przetwarzania ww. informacji listem poleconym, bez poświadczenia odbioru. Bank nie dysponował więc dowodem skutecznej realizacji obowiązku informacyjnego.

Na tej podstawie Prezes UODO uznał, że bank przetwarzał dane osobowe klienta z naruszeniem art. 105a ust. 3 ustawy.

Sprawa trafiła do Wojewódzkiego Sądu Administracyjnego w Warszawie, który uwzględnił skargę banku. Do tego orzeczenia skargę kasacyjną złożył jednak Prezes UODO. NSA podzielił zaś stanowisko organu nadzorczego, uchylając wyrok WSA. W uzasadnieniu orzeczenia sąd dokonał interpretacji pojęcia „poinformować” z art. 105a ust. 3 Prawa oświatowego, wskazując, że oznacza to: „udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości”. Innymi słowy, na banku spoczywa obowiązek nie tyle samego wysłania informacji, co spowodowania, że klient może się z tą informacją zapoznać. Do dodatkowego obowiązku informacyjnego banku nie należy więc podchodzić formalnie.

Do tego zdaniem sądu bank, choć ma wybór sposobu przekazania informacji o przetwarzaniu, to niezależnie od wybranego rozwiązania powinien dysponować dowodem skutecznego przekazania tej informacji. Innymi słowy, powinna istnieć możliwość zweryfikowania faktu poinformowania klienta banku o zamierzonym przetwarzaniu. Nie wystarczy tu wydruk z księgi nadawczej, którym w opisywanej sprawie dysponował bank.

W konsekwencji rozpoczęcie przetwarzania informacji, w tym danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego może nastąpić po upływie 30 dni od dnia poinformowania klienta a nie jedynie przesłania informacji. Termin ten nie został dochowany przez bank, stąd NSA uchylił zaskarżony wyrok i przekazał do ponownego rozpoznania.

• wyrok Naczelnego Sądu Administracyjnego III OSK 3233/21