NSA POTWIERDZA: BANK MOŻE PRZEKAZAĆ KANCELARII DANE KLIENTA
Czy bank może udostępnić dane klienta kancelarii prawnej bez zgody? I co na to RODO? Bank, który potrzebuje profesjonalnej pomocy prawnej, może przekazać kancelarii dane osobowe klienta banku niezbędne do analizy sprawy – bez uzyskiwania jego odrębnej zgody. Takie stanowisko potwierdził Naczelny Sąd Administracyjny w wyroku z dnia 17 czerwca 2026 r., sygn. III OSK 2175/24. Podstawą udostępnienia danych może być prawnie uzasadniony interes banku. Natomiast kancelaria, z uwagi na niezależny charakter wykonywania zawodu adwokata lub radcy prawnego, może przetwarzać otrzymane informacje jako odrębny administrator danych osobowych.
Co istotne, samo powołanie się na obsługę prawną nie zwalnia jednak banku z obowiązku wykazania celu, niezbędności i proporcjonalności udostępnienia danych.
SPÓR O PRZEKAZANIE DANYCH KLIENTA KANCELARII
Spór dotyczył tego, czy dopuszczalne jest przekazanie danych osobowych klienta bez jego zgody. Podobne obowiązki ochrony danych klientów banki mają np. przy zastrzeganiu numeru PESEL — pisaliśmy o tym w tekście: Zastrzeżenie numeru PESEL a obowiązki banku. Sprawa rozpoczęła się od skargi klientki banku wniesionej do Prezesa Urzędu Ochrony Danych Osobowych. Klientka twierdziła, że bank bezprawnie przekazał kancelarii m.in. jej dane identyfikacyjne, kontaktowe, numer IP komputera, numery rachunków oraz korespondencję prowadzoną z bankiem.
Czy tajemnica bankowa obejmuje dane klienta i czy mogą być one przekazywane w ramach stałej obsługi prawnej? Bank wyjaśnił, że kancelaria świadczyła na jego rzecz stałą obsługę prawną, a dane zostały przekazane w celu skonsultowania projektu odpowiedzi na wniosek klientki dotyczący praw wynikających z RODO. Jako podstawę wskazano art. 104 ust. 2 pkt 3 Prawa bankowego oraz art. 6 ust. 1 lit. f RODO. Kancelaria podkreślała, że działa jako odrębny administrator danych, a nie jako podmiot przetwarzający na polecenie banku.
Czy tajemnica bankowa obejmuje dane przekazywane prawnikom? Prezes UODO uznał, że udostępnienie danych było zgodne z prawem. Bank miał prawnie uzasadniony interes polegający na uzyskaniu profesjonalnej pomocy prawnej, a Prawo bankowe pozwalało przekazać adwokatom i radcom prawnym informacje objęte tajemnicą bankową w związku ze świadczeniem pomocy prawnej. Organ uznał też kancelarię za odrębnego administratora. Zastrzeżenia dotyczyły jedynie niepełnego poinformowania klientki o celach przetwarzania numeru IP.
Wyrok wpisuje się w szerszą linię orzeczniczą NSA dotyczącą przetwarzania danych klientów banków — pisaliśmy o tym również w tekście: NSA: banki nie mogą przechowywać danych byłych i niedoszłych klientów. Stanowisko to podzielił Wojewódzki Sąd Administracyjny w Warszawie, a następnie NSA, który oddalił skargę kasacyjną klientki.
PRAWNIE UZASADNIONY INTERES BANKU
W tle całej analizy pozostaje szersze pytanie o przetwarzanie danych osobowych klienta banku a przepisy RODO. Najważniejszym zagadnieniem w rozpoznawanej sprawie była możliwość zastosowania art. 6 ust. 1 lit. f RODO. Przepis ten pozwala przetwarzać dane, gdy jest to niezbędne do realizacji prawnie uzasadnionego interesu administratora lub osoby trzeciej, o ile interesy, prawa lub wolności osoby, której dane dotyczą, nie mają charakteru nadrzędnego.
Klientka twierdziła, że nie zbadano dostatecznie konieczności i proporcjonalności przekazania danych. NSA nie podzielił tego zarzutu.
Sąd wskazał, że pomiędzy bankiem a klientką istniało wyraźne powiązanie. Drugim elementem była zasadność wykorzystania danych w konkretnym celu, którym było uzyskanie profesjonalnej pomocy prawnej w związku z korespondencją klientki i przygotowaniem odpowiedzi.
Jakie dane może przekazać bank kancelarii prawnej? NSA uznał, że charakter usług prawnych może uzasadniać przekazanie kancelarii danych znajdujących się w posiadaniu banku, jeżeli mogą one mieć znaczenie dla udzielenia porady, sporządzenia opinii, przygotowania pisma lub reprezentowania banku. Dotyczy to także numeru IP komputera czy numerów rachunków bankowych, jeżeli dane są istotne dla oceny sprawy, ustalenia źródła korespondencji albo ewentualnego dochodzenia roszczeń.
Nie oznacza to jednak, że bank może automatycznie przekazywać kancelarii cały posiadany zbiór danych klienta. Zakres udostępnienia należy oceniać w kontekście konkretnego zlecenia. Dane muszą być przydatne do wykonania pomocy prawnej, a ich przekazanie powinno odpowiadać zasadzie minimalizacji danych osobowych.
KANCELARIA JAKO ODRĘBNY ADMINISTRATOR
Drugim ważnym wnioskiem jest potwierdzenie, że kancelaria świadcząca pomoc prawną może działać jako odrębny administrator danych, a nie jako podmiot przetwarzający w rozumieniu art. 28 RODO.
Adwokat lub radca prawny wykonuje zawód niezależnie, podlega tajemnicy zawodowej, samodzielnie ocenia sposób prowadzenia sprawy i jest związany ustawowymi zasadami przechowywania dokumentacji oraz unikania konfliktu interesów.
Kiedy potrzebna jest umowa powierzenia przetwarzania danych? W konsekwencji zawieranie standardowej umowy powierzenia przetwarzania danych z kancelarią może być nieprawidłowe, jeżeli nie odpowiada rzeczywistemu charakterowi relacji. W wielu przypadkach właściwszy będzie model udostępnienia danych pomiędzy dwoma odrębnymi administratorami. Takie stanowisko zaakceptowały UODO i sądy w omawianej sprawie.
Nie należy jednak stosować jednego modelu do wszystkich usług. Jeżeli kancelaria wykonuje także czynności techniczne, masowe lub ściśle według instrukcji banku, niezwiązane bezpośrednio z niezależnym świadczeniem pomocy prawnej, jej rola może wymagać odrębnej oceny. O kwalifikacji nie decyduje nazwa umowy, lecz rzeczywisty zakres zadań i samodzielność usługodawcy.
TAJEMNICA BANKOWA A PRZEKAZANIE DANYCH PRAWNIKOM – CZY BLOKUJE POMOC PRAWNĄ?
Wyrok potwierdza także znaczenie art. 104 ust. 2 pkt 3 Prawa bankowego. Przepis ten umożliwia bankowi przekazywanie informacji objętych tajemnicą bankową adwokatom i radcom prawnym w związku ze świadczeniem przez nich pomocy prawnej na rzecz banku.
Tajemnica bankowa nie wyklucza więc korzystania z zewnętrznej obsługi prawnej. Kancelaria musi mieć dostęp do informacji pozwalających ocenić problem, zidentyfikować ryzyka i zaproponować sposób działania.
Bank powinien jednak zadbać, aby przekazanie danych pozostawało związane z konkretną pomocą prawną. W dokumentacji wewnętrznej warto wskazać, jakiej sprawy dotyczy konsultacja, jaki jest jej cel oraz dlaczego określony zakres danych jest potrzebny kancelarii.
OBOWIĄZEK INFORMACYJNY NADAL MA ZNACZENIE
Choć zasadniczy spór zakończył się korzystnie dla banku, sprawa ujawniła również obszar ryzyka. Zasady zgłaszania i opisywania takich uchybień doprecyzowuje zaktualizowany poradnik PUODO — pisaliśmy o nim w tekście: RODO a naruszenia danych: nowy poradnik PUODO. Prezes UODO nakazał uzupełnić informacje dotyczące celów przetwarzania numeru IP. Bank wskazał klientce jeden cel, podczas gdy z innych dokumentów wynikało, że numer IP był wykorzystywany także m.in. do komunikacji elektronicznej, ochrony przed roszczeniami, bezpieczeństwa transakcji, a także działań antyfraudowych.
Zgodność samego przetwarzania z RODO nie eliminuje obowiązku udzielania pełnych, spójnych i rzetelnych informacji. Odpowiedzi na wnioski z art. 15 RODO powinny odpowiadać rzeczywistym procesom przetwarzania oraz treści rejestrów czynności, klauzul informacyjnych i dokumentacji systemów.
CO BANKI POWINNY ZROBIĆ W PRAKTYCE?
Bank powinien posiadać udokumentowaną analizę prawnie uzasadnionego interesu dotyczącą przekazywania danych kancelariom. Powinna ona obejmować cel, niezbędność i test równowagi, z uwzględnieniem rozsądnych oczekiwań klientów.
Umowa z kancelarią powinna jasno określać charakter pomocy prawnej, zasady poufności, bezpieczeństwa, komunikacji, retencji dokumentacji oraz wykonywania obowiązków wynikających z RODO. Nie zawsze potrzebna będzie umowa powierzenia, ale relacja dwóch administratorów powinna zostać prawidłowo opisana.
Przed przekazaniem dokumentów warto każdorazowo ocenić ich zakres. Kancelaria powinna otrzymać dane potrzebne do rzetelnego wykonania zlecenia, ale bank powinien unikać przekazywania informacji oczywiście nieistotnych dla sprawy.
Należy też zweryfikować procedury realizacji praw klientów, szczególnie w odniesieniu do adresów IP, logów systemowych i danych antyfraudowych.
WYROK KORZYSTNY, ALE NIEDAJĄCY PEŁNEJ SWOBODY
Czy klient banku musi wyrazić zgodę na przekazanie danych kancelarii? Wyrok NSA stanowi ważne i korzystne dla sektora bankowego potwierdzenie, że korzystanie z profesjonalnej pomocy prawnej może uzasadniać przekazanie kancelarii danych klienta bez jego zgody. Bank może oprzeć takie udostępnienie na prawnie uzasadnionym interesie, a dodatkową podstawę w zakresie tajemnicy bankowej stanowi art. 104 ust. 2 pkt 3 Prawa bankowego.
Orzeczenie nie jest jednak równoważne z ogólną zgodą na nieograniczone przekazywanie wszystkich danych każdej kancelarii współpracującej z bankiem. Kluczowe pozostają celowość, niezbędność, proporcjonalność i właściwe określenie ról stron. Bank powinien umieć wykazać, że przekazane informacje były potrzebne do wykonania konkretnej pomocy prawnej, a klient – biorąc pod uwagę charakter relacji z bankiem – mógł rozsądnie przewidywać, że jego sprawa zostanie skonsultowana z profesjonalnym pełnomocnikiem.
Czy bank może przekazać dane klienta kancelarii prawnej? Odpowiedź brzmi: tak, pod pewnymi warunkami. Prawidłowo zaprojektowany model współpracy z kancelarią pozwala zatem chronić interes banku, zapewnić skuteczną obsługę prawną oraz ograniczyć ryzyko zarzutów dotyczących naruszenia RODO i tajemnicy bankowej.
Materiał prasowy: radca prawny Mikołaj Domagała.
