[MIEJSCOWOŚĆ], [DATA]
[IMIĘ I NAZWISKO]
[ULICA, NUMER DOMU / LOKALU]
[KOD POCZTOWY, MIEJSCOWOŚĆ]
PESEL: [PESEL]
E-mail / telefon: [OPCJONALNIE]
Prezes Urzędu Ochrony Danych Osobowych
ul. Stanisława Moniuszki 1A
00-014 Warszawa
Skarga na naruszenie przepisów o ochronie danych osobowych
Skarżący/-a: [IMIĘ I NAZWISKO], adres jak wyżej.
Podmiot, którego dotyczy skarga (administrator): [PEŁNA FIRMA, np. Biuro Informacji Kredytowej S.A.], [ADRES SIEDZIBY], KRS [NUMER].
[Jeżeli skarga dotyczy dwóch podmiotów:] Drugi podmiot: [PEŁNA FIRMA BANKU / INSTYTUCJI POŻYCZKOWEJ], [ADRES], KRS [NUMER].
Na podstawie art. 77 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (dalej: „RODO”) oraz art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych wnoszę skargę na przetwarzanie moich danych osobowych przez wyżej wskazany podmiot z naruszeniem art. 5 ust. 1 lit. a i e, art. 6 ust. 1, art. 12 ust. 3 oraz art. 17 ust. 1 RODO w związku z art. 105a ust. 2, 3 i 5 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (t.j. Dz.U. z 2026 r. poz. 38 ze zm.) i wnoszę o:
- nakazanie [NAZWA ADMINISTRATORA] usunięcia moich danych osobowych dotyczących umowy [RODZAJ UMOWY] nr [NUMER UMOWY] z dnia [DATA UMOWY] oraz zaprzestania ich przetwarzania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (art. 58 ust. 2 lit. c i g RODO);
- [jeżeli skarga dotyczy także banku / instytucji pożyczkowej:] nakazanie [NAZWA BANKU / INSTYTUCJI] zaprzestania przetwarzania tych danych oraz zaprzestania ich udostępniania Biuru Informacji Kredytowej S.A. i innym instytucjom, o których mowa w art. 105 ust. 4 Prawa bankowego;
- stwierdzenie naruszenia art. 12 ust. 3 RODO przez nieudzielenie odpowiedzi na moje żądanie w terminie miesiąca [usuń, jeżeli odpowiedź była];
- przeprowadzenie dowodów z dokumentów załączonych do skargi.
Uzasadnienie
Stan faktyczny.
Dnia [DATA UMOWY] zawarłem/-am z [NAZWA BANKU / INSTYTUCJI] umowę [RODZAJ UMOWY] nr [NUMER]. Zobowiązanie wygasło dnia [DATA SPŁATY / WYGAŚNIĘCIA] wskutek [całkowitej spłaty / innego zdarzenia]. [WYBIERZ: W trakcie trwania umowy nie dopuściłem/-am się zwłoki przekraczającej 60 dni. / W trakcie umowy wystąpiło opóźnienie, jednak nie zostałem/-am poinformowany/-a o zamiarze przetwarzania moich danych bez zgody po wygaśnięciu zobowiązania. / Od wygaśnięcia zobowiązania upłynęło ponad 5 lat.]
Pismem z dnia [DATA PISMA], doręczonym dnia [DATA DORĘCZENIA] (załącznik nr 1 i 2), odwołałem/-am zgodę na przetwarzanie danych po wygaśnięciu zobowiązania i zażądałem/-am usunięcia danych z bazy Biura Informacji Kredytowej S.A. Tożsame żądanie skierowałem/-am do [NAZWA BANKU / INSTYTUCJI] pismem z dnia [DATA], doręczonym dnia [DATA] (załączniki nr 3 i 4).
[WYBIERZ:] Do dnia wniesienia skargi nie otrzymałem/-am odpowiedzi. / Pismem z dnia [DATA] (załącznik nr 5) administrator odmówił usunięcia danych, powołując się na [np. art. 105a ust. 3 Prawa bankowego / art. 105a ust. 4 Prawa bankowego / konieczność uzyskania dyspozycji banku / art. 6 ust. 1 lit. c albo f RODO]. Dane nadal są udostępniane w raportach BIK, co potwierdza raport z dnia [DATA] (załącznik nr 6).
Ocena prawna.
Zgodnie z art. 105a ust. 2 Prawa bankowego po wygaśnięciu zobowiązania przetwarzanie informacji objętych tajemnicą bankową dotyczących osoby fizycznej w celu oceny zdolności kredytowej wymaga zgody, którą można odwołać w każdym czasie. Bez zgody przetwarzanie jest dopuszczalne wyłącznie na warunkach z art. 105a ust. 3 (zwłoka ponad 60 dni oraz upływ 30 dni od skutecznego poinformowania o zamiarze przetwarzania bez zgody) i nie dłużej niż 5 lat (ust. 5). W mojej sprawie przesłanki te nie są spełnione, ponieważ [POWTÓRZ KRÓTKO WYBRANY WARIANT].
Naczelny Sąd Administracyjny konsekwentnie przyjmuje, że: przepisy ograniczające ochronę danych podlegają wykładni ścisłej, a dane nie mogą być przetwarzane „na zapas” (wyrok z 13 listopada 2025 r., III OSK 2513/22); art. 105 ust. 4 Prawa bankowego jest przepisem kompetencyjnym i nie stanowi samodzielnej podstawy przetwarzania, a art. 6 ust. 1 lit. c RODO wymaga obowiązku wynikającego wprost z ustawy (wyroki z 14 stycznia 2026 r., III OSK 183/23, i z 2 września 2026 r., III OSK 252/24); ciężar wykazania skutecznego poinformowania z art. 105a ust. 3 spoczywa na banku, a dowód nadania listu poleconego nie wystarcza (wyroki z 16 stycznia 2024 r., III OSK 3233/21, i z 12 czerwca 2026 r., III OSK 2864/24 i III OSK 100/25); bank i BIK S.A. są odrębnymi administratorami, a Prezes UODO może nakazać zaprzestanie przetwarzania każdemu z nich (wyroki z 17 lipca 2026 r., III OSK 3176/23, i z 2 września 2026 r., III OSK 252/24). W sprawie zakończonej wyrokiem III OSK 252/24 Prezes UODO nakazał bankowi i BIK S.A. zaprzestanie przetwarzania danych o kredycie spłaconym terminowo, a NSA oddalił skargi kasacyjne obu podmiotów.
[Jeżeli administrator powołał się na art. 105a ust. 4:] Art. 105a ust. 4 Prawa bankowego pozwala przetwarzać dane bez zgody wyłącznie do celów stosowania metod wewnętrznych i modeli z rozporządzenia (UE) nr 575/2013, a nie do udostępniania ich w raportach kredytowych i uwzględniania w ocenie punktowej. Dane nadal są udostępniane w raportach, co wykracza poza ten cel.
[Jeżeli skarga dotyczy zapytania kredytowego bez zawarcia umowy:] Po zakończeniu oceny zdolności kredytowej, która nie doprowadziła do zawarcia umowy, nie istnieje podstawa dalszego przetwarzania danych z zapytania; art. 105 ust. 4 Prawa bankowego jest przepisem kompetencyjnym, a cele statystyczne i zabezpieczenie przed hipotetycznymi roszczeniami nie są prawnie uzasadnionym interesem (wyroki NSA z 14 stycznia 2026 r., III OSK 183/23; z 27 marca 2026 r., III OSK 753/23; z 21 lipca 2026 r., III OSK 2715/23, utrzymujące decyzje Prezesa UODO nakazujące bankom i BIK S.A. usunięcie takich danych).
[Jeżeli skarga dotyczy zobowiązania przedawnionego:] Po upływie terminu przedawnienia nie można domagać się zaspokojenia roszczenia przeciwko konsumentowi (art. 117 § 2¹ k.c.), a dalsze raportowanie zobowiązania do BIK jak aktualnego, bez zastrzeżenia o przedawnieniu, nie jest prawnie uzasadnionym interesem administratora i stanowi pozasądowe przymuszenie do zapłaty (wyrok NSA z 17 czerwca 2026 r., III OSK 2241/23; wyrok NSA z 1 października 2025 r., III OSK 872/22).
[Jeżeli administrator nie odpowiedział:] Brak odpowiedzi w terminie miesiąca narusza art. 12 ust. 3 RODO.
Wobec powyższego wnoszę jak na wstępie.
Załączniki:
- kopia pisma z żądaniem usunięcia danych skierowanego do [NAZWA] z dnia [DATA]
- potwierdzenie doręczenia pisma z dnia [DATA]
- kopia pisma skierowanego do [NAZWA BANKU / INSTYTUCJI] z dnia [DATA]
- potwierdzenie doręczenia
- [odpowiedź administratora z dnia … – jeżeli była]
- raport BIK / inny dokument potwierdzający dalsze przetwarzanie danych
- [kopia umowy / zaświadczenie o spłacie – jeżeli jest]
- [pełnomocnictwo wraz z dowodem opłaty skarbowej – tylko gdy skargę wnosi pełnomocnik]
.......................................
[własnoręczny podpis]