Zapytania BIK poruszane są często jako temat rzeka na forach internetowych. Można przeczytać o nich wiele. Lecz niewiele informacji prawdziwych. Spójrzmy zatem, jak zapytania BIK wyglądają w oczach prawnika.
Zapytania BIK jako oświadczenie woli potencjalnego kredytobiorcy
Kwestię zapytań kredytowych kierowanych do Biura Informacji Kredytowej należy rozpatrywać w kontekście zgody osoby fizycznej jako oświadczenia woli oraz przez pryzmat ochrony przetwarzania danych osobowych oraz statusu prawnego BIK.
Zgodnie z treścią art. 60 Ustawy z dnia 23 kwietnia 1964r. Kodeks cywilny (Dz.U.1964 nr 16 poz.93 z późn. zm.) [Kc] z zasady wola osoby dokonującej czynności prawnej może być wyrażona przez każde zachowanie się tej osoby, które ujawnia jej wolę w sposób dostateczny, w tym również przez ujawnienie tej woli drogą elektroniczną, np. przez Internet. Nadto w myśl art. 7 ust.1 Ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz.U. 1997 nr 140 poz. 939 z późn. zm.) oświadczenia woli związane z dokonywaniem czynności bankowych mogą być składane w postaci elektronicznej. Przy czym wg art. 61 Kc oświadczenie woli, które ma być złożone innej osobie (lub podmiotowi), jest złożone w sposób tradycyjny z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią, a odwołanie takiego oświadczenia jest skuteczne, jeżeli doszło jednocześnie z tym oświadczeniem lub wcześniej.
Oświadczenie woli wyrażone w postaci elektronicznej np. przez Internet jest złożone innej osobie z chwilą, gdy wprowadzono je do środka komunikacji elektronicznej w taki sposób, żeby osoba ta mogła zapoznać się z jego treścią.
Zgoda na przetwarzanie danych ma charakter prawny oświadczenia woli, jednocześnie należy wskazać, iż dane osobowe, czyli każda informacja dotycząca osoby fizycznej, pozwalająca na określenie tożsamości tej osoby, identyfikację tej osoby, a osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (dla przykładu danymi osobowym są: imię i nazwiska [łącznie!], adres zamieszkania lub pobytu, nr PESEL, nr telefonu, ale też adres e-mail), podlegają szczególnej ochronie z Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. (Dz.U.1997, nr 133, poz. 883 z późn. zm.). Zatem dla osoby fizycznej jest istotne, że zgody (jako ważne i wiążące oświadczenia woli) składać można składać nie tylko w postaci pisemnej, ale także przez Internet, np. poprzez zaznaczenie „checkbox’a”. Zgoda jednak powinna mieć postać jawną, a nie dorozumianą, czyli wystąpić w postaci podpisu lub zaznaczenia, a nie wskazania.
Ponadto warto wiedzieć, iż milczenie, rozumiane jako brak odpowiedzi czy reakcji na oświadczenie podmiotu trzeciego, nie stanowi z zasady dorozumianego oświadczenia woli (zgody) wg art. 60 Kc. Zapytanie kierowane do BIK ma charakter oświadczenia woli (wniosku), podobnie jest w przypadku udzielenia zezwolenia (zgody) na przesłanie takiego zapytania wobec osoby trzeciej, np. pośrednika kredytowego.
Zapytanie BIK w kontekście przepisów pranych dotyczących Biura Informacji Kredytowej
Podstawą prawną działania Biura Informacji Kredytowej jest dyspozycja art. 105 ust. 4 Ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz.U. 1997 nr 140 poz. 939 z późn. zm.). Zezwala ona na utworzenie przez banki i bankowe izby gospodarcze (jak Związek Banków Polskich) odrębnej instytucji upoważnionej ustawowo do „gromadzenia, przetwarzania i udostępniania”:
- bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 (Parlamentu Europejskiego i Rady UE z dnia 26 czerwca 2013 r. odnośnie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych);
- innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń;
- instytucjom kredytowym – informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim;
- instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim – na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego.
Przetwarzanie danych w BIK
W myśl art. 7 pkt 2 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. (Dz.U.1997, nr 133, poz. 883 z późn. zm.) przetwarzanie danych (osobowych osoby fizycznej) – to jakiejkolwiek operacje wykonywane na danych osobowych, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, w szczególności te dokonywane w systemie informatycznym (komputerowym lub podobnym). Zatem definicja zakresu działań zawarta w art. 105 ust. 4 Prawa bankowego jest nieprecyzyjna, wystarczyło dla użyć słowa „przetwarzanie”, zamiast „gromadzenie, przetwarzanie, udostępnianie”.
Dane osobowe przekazywane do BIK podlegają ochronie określonej w Ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. (Dz.U.1997, nr 133, poz. 883 z późn. zm.). Z zasady wskazanej w art. 23 ust. 1 ww. Ustawy „przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych”.
Podstawowym warunkiem ustawowym, pozwalającym podmiotowi trzeciemu na zgodne z prawem przetwarzanie danych osobowych, jest zatem zgoda tej osoby fizycznej. Zgoda taka może obejmować także przetwarzanie danych osobowych w przyszłości, jeżeli nie zmienia się cel ich przetwarzania. Nie jest to jednak jedyna możliwość dopuszczająca przetwarzanie. Jak wspomniano zgoda ma charakter oświadczenia woli, które z kolei może mieć postać tradycyjnie pisemną lub elektroniczną. W sytuacji BIK przetwarzanie danych osobowych może odbywać się za zgodą osoby, której dane dotyczą lub na podstawie dyspozycji art. 23 ust. 2 ww. Ustawy, który to zezwala na przetwarzanie danych osobowych, gdy „jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa”, czyli gdy na przetwarzanie pozwala norma innej ustawy.
Przetwarzanie danych w BIK bez zgody osoby fizycznej
W przypadku BIK jest to opisany wyżej w art. 105 ust. 4 Prawa bankowego. Zatem BIK ma prawo przetwarzać dane osobowe osoby fizycznej nie tylko za zgodą tej osoby, przede wszystkim z mocy Ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz.U. 1997 nr 140 poz. 939 z późn. zm.). W związku z powyższym, banki działające w Polsce, mogą bez zgody osoby fizycznej przetwarzać jej dane (także osobowe – ponieważ w BIK przechowuje się również dane statystyczne, np. liczbowe, matematyczne), jeżeli znajdują się już w BIK (lub jeżeli dana osoba wyrazi zgodę), a podmioty spoza sektora bankowego, wyłącznie za zgodą (oświadczeniem woli) osoby, której dane dotyczą. W praktyce do sytuacji, gdy podmiot spoza sektora bankowego, np. pośrednik wymaga zgody (oświadczenia woli) na przetwarzanie danych osoby fizycznej, dochodzi najczęściej, kiedy zapytanie do BIK składane jest poprzez podmiot spoza sektora bankowego. Jak wspomniano wyżej banki takiej zgody nie potrzebują, by korzystać z danych zawartych w BIK.
Z perspektywy osoby fizycznej warto pamiętać o możliwości odwołania zgody na przetwarzanie danych osobowych. Taką możliwość zapewnia art. 32 Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U.1997, nr 133, poz. 883 z późn. zm.). Każda osoba, której dane (osobowe) dotyczą ma prawo m.in. do:
- uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych;
uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane; - żądania uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane.
Nadto osoba, której dane (osobowe) dotyczą ma prawo w myśl art. 33 ww. Ustawy prawo do złożenia do BIK (administratora danych osobowych) wniosku o przesłanie na swój adres informacji o przetwarzanych danych wraz z historią kredytową – raz na 6 miesięcy, a BIK ma obowiązek podać dane w terminie 30 dni. Takie prawo ma charakter nieodpłatny. [jednak informacja ustawowa jest mało użyteczna – red.]
Ocena ryzyka kredytowego w BIK
Z tematem przetwarzania danych osób fizycznych w kontekście zdolności kredytowej jest nieodłącznie związana ocena metodą punktową ryzyka kredytowego względem danej osoby, czyli BIKScoCreditRisk Biura Informacji Kredytowej. Jest to w praktyce matematyczna ocena wiarygodności kredytowej danej osoby w odniesieniu do innych osób ocenionych przez BIK uprzednio. Warto wiedzieć, iż jest to system dynamiczny, w którym ocena ulega ciągłym zmianom, ponieważ wyliczany jest każdorazowo przy zapytaniu o status zadanym przez dowolny podmiot trzeci. Co ciekawe, samodzielne zapytanie o własny status w BIK nie zmienia tegoż statusu.
Wg danych udostępnionych na stronie internetowej BIK (https://www.bik.pl/poradnik-bik/co-wplywa-na-wysokosc-oceny-punktowej) jest to głównie terminowość spłaty poprzednich zobowiązań kredytowych (około 76%), także liczba spłaconych i aktualnie spłacanych kredytów (około 11%) oraz wykorzystanie limitów kredytowych na kontach i kartach (około 8%), pozostałe około 5% (a więc nieznaczna wartość), to decyzje odmowne przy zapytaniach o kredyt – wysyłanych przez podmioty trzecie (banki, pośredników) lub przez daną osobę, związane z wnioskami, zapytaniami kredytowymi. Sama formuła matematyczna łącząca opisane kryteria jest tajemnicą BIK. Warto wiedzieć, że opóźnienie w spłacie zaciągniętego już zobowiązania przekraczające 30 dni „istotnie” obniża BIKScoCreditRisk na okres 12 miesięcy, w praktyce powrót do wartości BIKScoCreditRisk przed opóźnieniem wymaga 3 lat wzorowych spłat.
Zgodnie z obowiązującym prawem BIK przetwarza dane kredytobiorców (lub potencjalnych kredytobiorców) za ich zgodą lub na podstawie Prawa bankowego. Zgoda osoby fizycznej na przetwarzanie danych, nawet po całkowitej spłacie, wyrażona bezpośrednio wobec BIK ma charakter ogólny i zgodnie z taką zgodą BIK przetwarza dane danej osoby dla każdego zobowiązania kredytowego po jego spłacie – do czasu odwołania (cofnięcia oświadczeniem) zgody. Natomiast zgoda osoby fizycznej na przetwarzanie danych, nawet po całkowitej spłacie, złożona wobec podmiotu trzeciego, np. banku lub pośrednika ma charakter indywidualny i obowiązuje z zasady do jej odwołania, co można uczynić w każdym czasie na piśmie do owego podmiotu trzeciego powołując się na wspomniane normy Ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. (Dz.U.1997, nr 133, poz. 883 z późn. zm.). Należy mieć świadomość, iż BIK będzie przetwarzał dane dotyczące kredytobiorcy i danego kredytu, jeżeli nie regulował on terminowo zobowiązań lub dopuścił się zwłoki w spłacie raty powyżej 60 dni i upłynęło 30 dni od momentu poinformowania kredytobiorcy przez kredytodawcę listem poleconym o zamiarze przetwarzania jego danych bez jego zgody.
Można dodać, że do 12 lat po wygaśnięciu zobowiązania BIK może przetwarzać dane w celach statystycznych, acz są to dane liczbowe, matematyczne, które nie obejmują danych osobowych konkretnej osoby. W praktyce zapytania kredytowe nieznacznie tylko wpływają na ogólną ocenę zdolności kredytowej danej osoby, nadto należy logicznie domniemać, że w przypadku wzorowej, bardzo wysokiej oceny pozytywnej ryzyka kredytowego z zastosowaniem istotniejszych kryteriów, znaczenie samych zapytań kredytowych dla wysokości BIKScoCreditRisk jest tak niewielkie, że pomijalne.
Podstawa prawna:
- Ustawa z dnia 23 kwietnia 1964r. Kodeks cywilny (Dz.U.1964 nr 16 poz.93 z późn.zm.).
- Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. 1997 nr 140 poz. 939 z późn. zm.).
Marcin Matusewicz, prawnik