Spłata kredytu nie zawsze oznacza konieczność usunięcia danych z Biura Informacji Kredytowej (BIK). Bank musi jednak dysponować odpowiednią podstawą prawną, aby nadal je przetwarzać. Potwierdził to Naczelny Sąd Administracyjny w wyroku z 2 września 2026 roku, który ma istotne znaczenie również dla banków obsługujących klientów prowadzących jednoosobową działalność gospodarczą.
Sprawa dotyczyła przedsiębiorcy, którego dane były nadal przetwarzane w BIK po wygaśnięciu zobowiązania kredytowego. Prezes Urzędu Ochrony Danych Osobowych nakazał zaprzestanie takiego przetwarzania, a NSA oddalił skargi kasacyjne banku oraz BIK, podtrzymując wcześniejsze rozstrzygnięcie.
WYROK NSA: przepisy dotyczące przetwarzania danych kredytowych po wygaśnięciu zobowiązania obejmują również osoby fizyczne prowadzące działalność gospodarczą
W wyroku z 2 września 2026 roku Naczelny Sąd Administracyjny rozstrzygnął, że przepisy dotyczące przetwarzania danych kredytowych po wygaśnięciu zobowiązania obejmują również osoby fizyczne prowadzące działalność gospodarczą. Ma to istotne znaczenie dla przedsiębiorców, których dane są wykorzystywane przy ocenie zdolności kredytowej i ryzyka kredytowego.
Sprawa rozstrzygnięta ww. orzeczeniem dotyczyła przedsiębiorcy, który zawarł z bankiem umowę kredytową, a następnie podpisał ugodę dotyczącą spłaty zobowiązania. Kredyt został spłacony, jednak informacje o nim nadal były przetwarzane w systemie BIK.
Przedsiębiorca zakwestionował takie działanie, wskazując, że jego dane są przetwarzane bez odpowiedniej podstawy prawnej. Zwróciła się do Prezesa Urzędu Ochrony Danych Osobowych (UODO), który nakazał bankowi zaprzestanie przetwarzania jej danych w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Zarówno bank, jak i BIK nie zgodzili się z tą decyzją. Argumentowali między innymi, że szczególne zasady przetwarzania danych po spłacie kredytu dotyczą konsumentów, a nie osób prowadzących działalność gospodarczą. Sprawa trafiła do sądu administracyjnego.
Wojewódzki Sąd Administracyjny oddalił skargi banku i BIK, a następnie obie instytucje wniosły skargi kasacyjne do NSA.
Osoba fizyczna w świetle art. 105a ust. 2 i 3 Prawa bankowego
Najważniejszym zagadnieniem, którym zajął się NSA, było ustalenie, czy pojęcie „osoby fizycznej” użyte w art. 105a ust. 2 i 3 Prawa bankowego obejmuje także przedsiębiorców prowadzących jednoosobową działalność gospodarczą.
NSA potwierdził, że przepisy te dotyczą wszystkich osób fizycznych, niezależnie od tego, czy występują one jako konsumenci czy jako przedsiębiorcy.
Sąd zwrócił uwagę, że prowadzenie działalności gospodarczej nie powoduje powstania odrębnej od przedsiębiorcy osoby prawnej. Przedsiębiorca prowadzący jednoosobową działalność gospodarczą nadal pozostaje osobą fizyczną, której dane podlegają ochronie.
Istotne znaczenie miało również brzmienie przepisów. W ich pierwotnej wersji pojawiało się określenie „osoby fizyczne (konsumenci)”. W późniejszym brzmieniu ustawodawca zrezygnował z doprecyzowania „konsumenci”. Zdaniem NSA przemawia to za objęciem ochroną wszystkich osób fizycznych, także tych prowadzących działalność gospodarczą.
Kiedy bank może przetwarzać dane po spłacie kredytu?
NSA przypomniał, że samo istnienie przepisów umożliwiających bankom współpracę z BIK nie oznacza, że dane kredytowe mogą być przetwarzane bez ograniczeń.
Zgodnie z art. 105a ust. 2 Prawa bankowego, po wygaśnięciu zobowiązania przetwarzanie określonych informacji co do zasady wymaga pisemnej zgody osoby, której dane dotyczą, z uwzględnieniem wyjątków przewidzianych w ustawie.
Z kolei art. 105a ust. 3 pozwala na przetwarzanie danych bez takiej zgody w określonych sytuacjach, gdy osoba nie wykonała zobowiązania lub dopuściła się opóźnienia w jego wykonaniu przekraczającego 60 dni, a następnie upłynęło co najmniej 30 dni od poinformowania jej o zamiarze dalszego przetwarzania danych bez zgody.
W rozpatrywanej sprawie bank nie wykazał spełnienia wymaganych przesłanek. Nie udowodnił również, że przedsiębiorczyni została odpowiednio poinformowana o zamiarze dalszego przetwarzania jej danych.
NSA podkreślił ponadto, że art. 105 ust. 4 Prawa bankowego, dotyczący funkcjonowania instytucji gromadzących i udostępniających informacje kredytowe, nie stanowi samodzielnej podstawy do nieograniczonego przetwarzania danych. Konieczne jest przestrzeganie szczególnych zasad wynikających z art. 105a Prawa bankowego oraz wymogów RODO.
Ochrona danych osobowych ma znaczenie także w działalności gospodarczej
Sąd zwrócił również uwagę na zasadę rozliczalności wynikającą z RODO. Oznacza ona, że administrator danych musi nie tylko przestrzegać przepisów, ale również być w stanie wykazać, że przetwarzanie odbywa się zgodnie z prawem.
Potrzeba oceny ryzyka kredytowego czy zapewnienia bezpieczeństwa sektora bankowego nie uzasadnia automatycznie dalszego przetwarzania danych konkretnej osoby. Także banki i BIK muszą działać w granicach uprawnień przyznanych im przez przepisy.
Jak banki powinny postępować po wyroku NSA?
Wyrok powinien skłonić banki do weryfikacji nie tylko pojedynczych spraw, lecz także stosowanych procedur dotyczących przetwarzania danych kredytowych po wygaśnięciu zobowiązań.
W praktyce warto zwrócić uwagę na kilka obszarów.
- Weryfikacja podstaw prawnych przetwarzania danych
Bank powinien sprawdzić, na jakiej podstawie prawnej dane poszczególnych klientów są nadal przetwarzane w BIK po spłacie kredytu lub innym wygaśnięciu zobowiązania. Analiza powinna obejmować również osoby prowadzące jednoosobową działalność gospodarczą.
- Kontrola spełnienia warunków przetwarzania bez zgody
Jeżeli bank powołuje się na wyjątek pozwalający na przetwarzanie danych bez zgody klienta, powinien zweryfikować, czy zostały spełnione wszystkie ustawowe przesłanki. Szczególne znaczenie ma prawidłowe ustalenie okresu opóźnienia oraz wykazanie, że klient został odpowiednio poinformowany o zamiarze dalszego przetwarzania danych.
- Zapewnienie kompletnej dokumentacji
Bank powinien dysponować dokumentami i zapisami pozwalającymi wykazać, że przetwarzanie danych odbywa się zgodnie z prawem. Dotyczy to w szczególności zgód klientów, zawiadomień, dat ich przekazania oraz dokumentacji potwierdzającej spełnienie ustawowych warunków. Zgodnie z zasadą rozliczalności wynikającą z RODO to administrator danych musi być w stanie wykazać zgodność swojego działania z przepisami.
- Przegląd wewnętrznych procedur i systemów
Warto zweryfikować, czy stosowane procedury oraz rozwiązania informatyczne prawidłowo rozróżniają sytuacje, w których dane mogą być nadal przetwarzane, od tych, w których konieczne jest uzyskanie zgody lub zaprzestanie przetwarzania w danym celu. Szczególnej uwagi wymagają procesy automatyczne, które mogą prowadzić do dalszego przekazywania danych bez uprzedniej kontroli spełnienia wymaganych przesłanek.
- Indywidualna ocena wniosków klientów
Wnioski dotyczące usunięcia danych lub zaprzestania ich przetwarzania powinny być rozpatrywane z uwzględnieniem okoliczności konkretnej sprawy i właściwej podstawy prawnej. Wyrok nie oznacza bowiem, że wszystkie dane o spłaconych kredytach muszą zostać automatycznie usunięte z BIK. Kluczowe jest ustalenie, czy dalsze przetwarzanie jest w danym przypadku dopuszczalne.
Co wyrok oznacza dla sektora bankowego?
Orzeczenie NSA przypomina, że przekazywanie i przechowywanie danych w BIK musi odbywać się w granicach określonych przez przepisy. Nie wystarczy powołać się ogólnie na potrzeby oceny ryzyka kredytowego czy funkcjonowanie systemu wymiany informacji gospodarczych. Bank powinien umieć wykazać, że w odniesieniu do konkretnej osoby i konkretnego celu istnieje właściwa podstawa prawna.
W praktyce oznacza to potrzebę regularnego przeglądu procedur, dokumentacji oraz mechanizmów kontroli związanych z przetwarzaniem danych po wygaśnięciu zobowiązań. Takie działania mogą pomóc ograniczyć ryzyko naruszeń przepisów o ochronie danych osobowych oraz zakwestionowania stosowanych praktyk przez organ nadzorczy.
Zespół Kancelarii Brzoziewska Kędziora wspiera banki w kompleksowej analizie zgodności procesów przetwarzania danych osobowych z przepisami prawa bankowego i RODO. Zakres wsparcia obejmuje w szczególności ocenę podstaw prawnych dalszego przetwarzania danych po wygaśnięciu zobowiązań kredytowych, weryfikację spełnienia ustawowych przesłanek, analizę dokumentacji oraz przegląd obowiązujących procedur i wymogów organizacyjnych.
Celem takiej analizy jest identyfikacja potencjalnych ryzyk prawnych oraz wskazanie działań, które pozwolą dostosować praktykę banku do aktualnych wymogów prawnych i wniosków płynących z orzecznictwa.
