Czy osoba fizyczna, która prowadzi działalność gospodarczą, wciąż jest osobą fizyczną? Czy jednak jednoosobowy przedsiębiorca nie powinien być, na gruncie RODO, traktowany jako osoba fizyczna? (wyrok Naczelnego Sądu Administracyjnego z 2 września 2026 r., III OSK 252/24).
Sprawa zaczęła się od zawarcia przez kobietę prowadzącą działalność gospodarczą 24-miesięcznej umowy kredytowej (z okruszków wnoszę, że chodziło o kredyt w rachunku bieżącym, który nie był spłacany w sposób należyty). Po upływie tego okresu bank uznał, że analiza finansowa firmy nie pozwala na przedłużenie umowy na takich samych warunkach i zaproponował „refinansowanie/ugodę” na 30-miesięczny kredyt ratalny. Klientka przystała na zmianę, wszystko spłaciła, przy czym bank nie poinformował jej, że po spłacie kredyt dostanie status „odzyskany” i jako taki został wpisany — bez jej zgody — do Biura Informacji Kredytowej.
Dość rzecz, że odnosząc się do skargi na nieprawidłowości PUODO uznał, że bank i BIK ani nie miały zgody na przetwarzanie danych osobowych klientki po wygaśnięciu zobowiązania, ani nie poinformowały jej o zamiarze przetwarzania danych bez zgody, więc nakazał usunięcie wpisu.
W skargach na tę decyzję bank i BIK podkreślili, że odnośne przepisy dotyczą tylko konsumentów, a więc nie dotyczą przedsiębiorców. Tymczasem osoba fizyczna prowadząca działalność gospodarczą — przedsiębiorca — nie jest osobą fizyczną, a więc ograniczenia jej nie dotyczą.
art. 105a ust. 2 i 3 prawa bankowego
2. [Banki, etc.] mogą przetwarzać informacje stanowiące tajemnicę bankową […] w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem […] pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą […]. Zgoda ta może być w każdym czasie odwołana.
3. Banki […] mogą przetwarzać informacje stanowiące tajemnicę bankową […] dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem […] bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem […] a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank […] o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Nadto BIK jest instytucją ustawowo zobowiązaną do prowadzenia bazy danych służącej do oceny zdolności kredytowej i analizy ryzyka kredytowego, zatem przetwarzanie danych osobowych było uzasadnione prawnie, jak też ze względu na cel w postaci zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego i zapobiegania kryzysom gospodarczym.
Zarówno WSA jak i NSA nie podzieliły tych argumentów. Art. 105a ust. 2-3 pr.bank. literalnie dotyczy przetwarzania informacji objętych tajemnicą bankową dotyczących wszystkich osób fizycznych. Owszem, uprzednio była w tym przepisie mowa o „osobach fizycznych (konsumentach)”, a przecież wykładnia prawa nie może odnosić się wyłącznie do historycznego brzmienia norm i pomijać zmian w prawie.
Na gruncie RODO okoliczność, iż osoba fizyczna — człowiek — prowadzi działalność gospodarczą i określana jako przedsiębiorca, nie pozbawia go przymiotów osoby fizycznej (por. „Dane osobowe przedsiębiorców wpisanych w CEIDG”).
art. 4 ust. 1 prawa przedsiębiorców
Przedsiębiorcą jest osoba fizyczna, osoba prawna lub jednostka organizacyjna niebędąca osobą prawną, której odrębna ustawa przyznaje zdolność prawną, wykonująca działalność gospodarczą.
Mało tego: firma jednoosobowego przedsiębiorcy (JDG) zawsze zawiera jego imię i nazwisko, tedy tym bardziej jest jasne, że przetwarzanie tego rodzaju informacji należy traktować jako przetwarzanie danych osobowych. Status przedsiębiorcy nie oznacza pozbawienia osoby fizycznej prawa do prywatności. Natomiast podstawy do przetwarzania danych osobowych „jak leci”, bez względu na szczegółowe unormowania, nie można doszukiwać się w przepisach statuujących BIK jako instytucję powołaną do gromadzenia danych klientów sektora bankowego w celu analizy scoringowej, etc.
Sumarycznie oznacza to, że PUODO prawidłowo ocenił, iż bank nie był upoważniony do przekazania danych osobowych, podobnie BIK nie wykazał przesłanki do ich przetwarzania — zatem skarga na decyzję została prawomocnie oddalona.