Firma nie może gromadzić danych o klientach na zapas – analiza wyroku NSA

W celu udzielenia odpowiedzi na powyższe pytanie należy odwołać się do stanowiska wyrażonego przez NSA w wyroku z dnia 8 stycznia 2025 r. (sygn. akt III OSK 4868/21). NSA rozpatrywał sprawę klientów banku, którzy wnieśli o zakazanie bankowi posługiwania się, przetwarzania i archiwizowania wszelkich danych osobowych ich dotyczących.

Klienci wystąpili do banku o zaprzestanie przesyłania na ich adres materiałów reklamowych i wyciągów bankowych oraz wycofali zgodę na używanie, przetwarzanie i archiwizowanie ich danych osobowych przez bank. Niemniej jednak bank odmówił zastosowania się do powyższego żądania, z uwagi na brak możliwości potwierdzenia tożsamości wnioskodawców. Bank poinformował przy tym, że klienci mogą złożyć żądanie zaprzestania przetwarzania ich danych osobowych przez bank osobiście w dowolnej placówce banku lub poprzez przesłanie wniosku o tej treści poprzez infolinię lub kanał internetowy banku. Klienci odmówili skorzystania z kanałów komunikacji wskazanych im przez bank i ponowili swoje oświadczenie o wycofaniu zgody na przetwarzanie ich danych osobowych. Ostatecznie bank dokonał zamknięcia rachunków bankowych klientów i od tej daty przestał przetwarzać ich dane osobowe w celach marketingowych. Jednakże po upływie kilku miesięcy bank przesłał byłym klientom pismo, z którego treści wynikało, że ich dane osobowe są w dalszym ciągu przetwarzane przez bank w celu ustalenia, dochodzenia lub obrony przed ich ewentualnymi roszczeniami.

Początkowo byli klienci banku, skierowali skargę do Prezesa Urzędu Ochrony Danych Osobowych (UODO), który w drodze decyzji nakazał bankowi usunięcie danych osobowych klientów i udzielił bankowi upomnienia za naruszenie art. 6 ust. 1, art. 12 ust. 2 i ust. 3, oraz ar