BIK bez prawa do przetwarzania danych o upadłości konsumenckiej pozyskanych z Monitora Sądowego i Gospodarczego

Naczelny Sąd Administracyjny w wyroku z 2 grudnia 2025 r. (sygn. III OSK 1109/25) jednoznacznie rozstrzygnął spór dotyczący zakresu uprawnień Biura Informacji Kredytowej w zakresie przetwarzania danych osobowych. Sprawa dotyczyła danych o ogłoszeniu upadłości konsumenckiej, które BIK pozyskał samodzielnie z Monitora Sądowego i Gospodarczego i przetwarzał w swoich bazach. NSA potwierdził stanowisko Prezesa UODO oraz sądu I instancji, że takie przetwarzanie odbywało się bez podstawy prawnej.

‍

Stan faktyczny sprawy

Osoba fizyczna, wobec której ogłoszono upadłość konsumencką, złożyła skargę do Prezesa UODO na przetwarzanie jej danych przez BIK. Dane te obejmowały m.in. imię, nazwisko, numer PESEL, informację o ogłoszeniu upadłości konsumenckiej oraz daty postanowień sądowych. BIK pozyskał je samodzielnie z Monitora Sądowego i Gospodarczego, a następnie przetwarzał w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

‍

Istotne było to, że osoba, której dane dotyczyły, nie zawarła umowy z bankiem, a więc dane te nie pochodziły z czynności bankowych ani z relacji objętej tajemnicą bankową.

‍

Ocena prawna dokonana przez NSA

NSA potwierdził, że:

• art. 105 ust. 4 Prawa bankowego stanowi podstawę powołania i działalności BIK, ale jednocześnie ściśle ogranicza zakres danych, które BIK może przetwarzać,
• dopuszczalne jest wyłącznie przetwarzanie informacji stanowiących tajemnicę bankową, w zakresie określonym w art. 105a ust. 4 Prawa bankowego,
• przepisy Prawa bankowego tworzą kompleksową i zamkniętą regulację podstaw przetwarzania danych przez BIK.

‍

Sąd jednoznacznie wskazał, że nie jest dopuszczalne „uzupełnianie” tej regulacji poprzez sięganie po ogólną podstawę z art. 6 ust. 1 lit. f RODO (tzw. prawnie uzasadniony interes), jeżeli chodzi o dane pozyskane poza czynnościami bankowymi.

‍

Znaczenie źródła danych

NSA podkreślił, że fakt, iż informacje o upadłości konsumenckiej są publicznie dostępne w Monitorze Sądowym i Gospodarczym, nie legalizuje ich dalszego przetwarzania przez BIK. Publiczny charakter źródła danych nie zastępuje ustawowej podstawy przetwarzania, jeżeli przetwarzanie to stanowi ingerencję w konstytucyjne prawo do prywatności i ochrony danych osobowych.

‍

Skutek rozstrzygnięcia

W konsekwencji NSA uznał, że:

• BIK nie miał prawa gromadzić, przetwarzać ani udostępniać danych o upadłości konsumenckiej osoby fizycznej,
• Prezes UODO zasadnie nakazał usunięcie tych danych,
• skarga kasacyjna BIK została oddalona w całości.

‍

Co to oznacza dla firm?

Z wyroku NSA wynikają konkretne konsekwencje istotne dla przedsiębiorców:

• Publiczne źródło danych nie wystarcza – fakt, że dane są ujawnione w rejestrze lub dzienniku urzędowym, nie oznacza automatycznie, że mogą być dowolnie przetwarzane w działalności gospodarczej.
• Zakres przetwarzania danych musi wynikać wprost z ustawy – w przypadku działalności opartej na danych wrażliwych ekonomicznie (np. sytuacja finansowa osób fizycznych) nie ma miejsca na rozszerzającą interpretację przepisów.
• Modele biznesowe oparte na danych osobowych wymagają precyzyjnej podstawy prawnej – jeżeli ustawa sektorowa określa zamknięty katalog danych i celów, nie można go „uzupełniać” ogólnymi przesłankami z RODO.
• Ryzyko regulacyjne dotyczy nie tylko instytucji finansowych – wnioski z tego wyroku mają znaczenie dla wszystkich firm, które budują produkty lub usługi w oparciu o dane pozyskiwane z rejestrów publicznych.

‍

Wyrok NSA pokazuje, że w obszarze danych osobowych granice dopuszczalnego przetwarzania wyznacza nie dostępność informacji, lecz precyzyjna norma ustawowa.

‍