Czy bank ma prawo wpisać do BIK dane o zadłużeniu po tym, jak klient przestał spłacać raty kredytowe — bo uzyskał zabezpieczenie powództwa w postaci możliwości zaprzestania regulowania rat? Czy jednak sądowe zabezpieczenie powództwa „chroni” kredytobiorcę także przed bezpodstawnym wpisaniem do BIK? I, wcale nie na marginesie: skoro administratorem danych o zadłużeniu jest BIK, to czy adresatem sankcji za nieprawidłowości w przetwarzaniu danych osobowych może być bank? (wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 30 stycznia 2024 r., II SA/Wa 2186/22).
Sprawa zaczęła się od powództwa o stwierdzenie nieważności kredytu walutowego; w toku postępowania sąd udzielił kredytobiorcom zabezpieczenia roszczenia w postaci wstrzymania spłaty rat. Kredytobiorcy poinformowali bank o skorzystaniu z tego uprawnienia — jednak bank miesiąc później przekazał do Biura Informacji Kredytowej informację o opóźnieniu w spłacie zobowiązań.
Kredytobiorcy wystosowali do banku żądanie zaprzestania naruszenia zasad przetwarzania danych oraz wnieśli skargę do PUODO; bank prędko zlecił usunięcie danych z BIK…
… jednak PUODO uznał, że skoro dane gromadzone w BIK powinny odzwierciedlać rzeczywisty stan zobowiązań, to bank nie miał postawy do przekazania informacji o rzekomym zadłużeniu powstałym wskutek wykonania sądowego zabezpieczenia. Finalnie w wydanej decyzji urząd udzielił bankowi upomnienia za dwumiesięczne naruszenie RODO (por. „Czy zaprzestanie przetwarzania danych osobowych jest podstawą umorzenia postępowania — jeśli w toku przetwarzania doszło do nieprawidłowości?”).
W skardze na tę decyzję bank podkreślił, że skoro dane osobowe przetwarzał BIK — który jest odrębnym podmiotem od banku i samodzielnym administratorem danych osobowych — to stroną postępowania i decyzji powinna być ta instytucja.
art. 105a ust. 1 i 4 prawa bankowego
1. Przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe (…) a także [BIK], informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe (…) w zakresie dotyczącym osób fizycznych może być wykonywane (…) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
4. Banki oraz [BIK] mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013.
art. 105 ust. 4i pr.bank.
Banki (…) obowiązane są do informowania [BIK] o całkowitej spłacie zobowiązań, ich wygaśnięciu, stwierdzeniu nieistnienia zobowiązania, korekcie jego wysokości oraz o nowo powstałych zobowiązaniach i ich aktualizacji, w terminie 7 dni od wystąpienia okoliczności uzasadniających przekazanie informacji. Instytucja utworzona na podstawie ust. 4 obowiązana jest wprowadzić informacje, o których mowa w zdaniu poprzedzającym, do zbioru, w którym są one przetwarzane, w terminie nie dłuższym niż 7 dni od dnia ich otrzymania.
Tej oceny nie zmienia fakt, iż kredytobiorcy poskarżyli się bankowi, który zgodnie z RODO tylko przekazał żądanie pod właściwy adres. Tak czy inaczej bank ma ustawowy obowiązek przekazywania do BIK określonych danych, toteż przetwarzanie oparte było na przesłance wskazanej w art. 6 ust. 1 lit. c) RODO.
Odnosząc się do tych argumentów Wojewódzki Sąd Administracyjny stwierdził, że oczywiście, bank ma prawo, a nawet obowiązek informować BIK o określonych zdarzeniach, zaś wówczas rzeczywiście odnośny przepis jest podstawą przetwarzania danych osobowych klientów.
Jednak spór nie dotyczy przecież ani generalnej zasady, ani nawet ewentualnego opóźnienia w przekazaniu do BIK żądania osoby, której dane były przetwarzane — chodzi przecież o to, że kredytobiorcy uzyskali zabezpieczenie powództwa i nie musieli spłacać rat, to nie mogli popaść w opóźnienie. Nie ma przy tym znaczenia, że w treści postanowienia sąd nie odniósł się do kwestii przekazywania informacji do BIK — bank ma ustawowy obowiązek aktualizowania danych w BIK, w tym także informacji o zabezpieczeniu powództwa skutkującym zwolnieniem kredytobiorcy z obowiązku spłaty rat (art. 105 ust. 4i pr.bank.). Więc chociaż to BIK przetwarza dane jako administrator — nie dokonuje przecież samodzielnie ich aktualizacji, lecz bazuje wyłącznie na informacjach przesłanych przez banki — ewentualną odpowiedzialność za uchybienie w postaci zaniechania może ponosić wyłącznie bank.
BIK nie dokonuje samodzielnie aktualizacji danych o zobowiązaniach, ale przetwarza te informacje zgodnie z treścią otrzymaną od banków, gdyż to Banki dysponują takimi informacjami, zatem to od działania lub zaniechania Banku uzależniona jest prawidłowość danych przetwarzanych w BIK. To Bank decydował o tym czy udostępnia do BIK dane osobowe, czy też nie, a jeżeli tak, to w jakim terminie. To Bank decydował ponadto jaki zakres danych podlega udostępnieniu i odpowiadał za sprawdzenie ich poprawności. Bez przekazania danych osobowych przez Bank, BIK nie dokonuje samodzielnie zmian dotyczących danych osobowych klienta Banku.
W konsekwencji oznacza to, że zgłaszając do BIK dane o zadłużeniu kredytobiorcy bank nie powinien pomijać takiego detalu jak zabezpieczenie powództwa udzielone w postępowaniu o stwierdzenie nieważności kredytu — zatem decyzja PUODO była prawidłowa.
(Ciekawostka: wyrok jest prawomocny, czyli bank nawet nie próbował wnosić skargi kasacyjnej.)