Source: http://ippw.pl/2019/06/04/zmiany-w-sektorze-bankowym-w-kontekscie-przetwarzania-i-ochrony-danych-osobowych/
Timestamp: 2019-08-24 16:13:26
Legal References Found: art. 105
 art. 70
 art. 165
 art. 299
 art. 15
 art. 14
 art. 66
 art. 15

Document Content:
ZMIANY W SEKTORZE BANKOWYM W KONTEKŚCIE PRZETWARZANIA I OCHRONY DANYCH OSOBOWYCH – Wieluń
Jak wiadomo zmiany w przepisach obowiązujących od 4 maja 2019 r. (ustawa z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE) (ogólne rozporządzenie o ochronie danych, RODO) a dotyczące przetwarzania i ochrony danych osobowych dotknęły również sektor bankowy. Warto się przyjrzeć tym zmianom ponieważ dotyczą one większości z nas, którzy korzystają z szerokiej gamy produktów bankowych i w związku z tym, niekiedy obligatoryjnie, muszą udostępnić bankom szerszy zakres swoich danych osobowych niż tylko wynikający z konieczności zawarcia z bankiem umowy.
Profilowanie składa się więc z trzech elementów: musi być zautomatyzowaną formą przetwarzania
– ocena danej osoby generowana jest „automatycznie” przez system; musi być prowadzone odnośnie danych osobowych; oraz celem profilowania musi być ocena niektórych czynników osobowych osoby fizycznej. Banki dysponują dużą ilością danych o klientach – posiadając dostęp do historii rachunku są w stanie ustalić preferencje, czy styl życia klienta, nawet informacje o jego stanie zdrowia. Nierzadko banki stosują algorytmy i modele scoringowe, które w sposób zautomatyzowany, na podstawie określonych danych o osobie przyporządkowują ją do określonej kategorii i np. „decydują” o warunkach kredytu lub o odrzuceniu wniosku kredytowego. To jest właśnie profilowanie. Podstawą przetwarzania danych w postaci profilowania jest art. 105a ust. 1a-1c dający bankom oraz innym instytucjom prawo, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, podejmowania decyzji w oparciu wyłącznie o zautomatyzowane przetwarzanie, w tym profilowanie, danych osobowych – również stanowiących tajemnicę bankową –pod warunkiem zapewnienia osobie, której dotyczy decyzja podejmowana w sposób zautomatyzowany, prawa do otrzymania stosownych wyjaśnień co do podstaw podjętej decyzji, do uzyskania interwencji ludzkiej w celu podjęcia ponownej decyzji oraz do wyrażenia własnego stanowiska. Ustawodawca wprost zaaprobował możliwość podejmowania decyzji, opierając się wyłącznie na zautomatyzowanym przetwarzaniu danych osobowych (w tym profilowaniu), jednak wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Ustawodawca także nakłada na bank obowiązek wyjaśnienia wnioskodawcy podstaw takiej decyzji, obowiązek umożliwienia interwencji “ludzkiej” (a więc z pominięciem automatycznego przetwarzania) w celu ponownego podjęcia decyzji o przyznaniu kredytu (pożyczki) oraz daje prawo wnioskodawcy do wyrażenia własnego stanowiska w sytuacji odmowy przyznania kredytu. Bank w tym celu powinien wykorzystywać tylko dane niezbędne. Te dane to dane dotyczące osoby fizycznej (wnioskodawcy) oraz dane dotyczące zobowiązania. Ustawodawca wśród danych dotyczących osobowy fizycznej wymienia: imię (imiona) i nazwisko, nazwisko rodowe, imiona rodziców, datę i miejsce urodzenia, wiek, płeć, obywatelstwo, tytuł prawny do zajmowanego lokalu. formę zatrudnienia) sytuację finansową, w tym dochody i wydatki, sytuację finansową. Dane dotyczące zobowiązań to źródło zobowiązania (umowa, poręczenie, weksel) oraz jego kwotę i walutę, numer i stan rachunku prowadzonego w banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, nazwę i adres siedziby lub oddziału banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, datę powstania zobowiązania, warunki spłaty zobowiązania, ustanowione zabezpieczenia prawne, przebieg realizacji zobowiązania, stan zadłużenia z tytułu zobowiązania, datę wygaśnięcia zobowiązania, przyczyny niewykonania zobowiązania lub dopuszczenia się zwłoki. Zakres danych jakie banki mogą temat gromadzić na temat swoich klientów (zarówno pochodzących od nich jak i z innych źródeł) jest szeroki. Warto przy okazji pamiętać, że do tego aby bank je mógł gromadzić nie potrzebuje od nas zgody. Bank nie może m. in. profilować kredytobiorców wykorzystując do tego informacje o stanie zdrowia lub dane dotyczące światopoglądu czyli nie może wykorzystywać danych szczególnych kategorii (danych wrażliwych).
Kluczową dla klientów banków zmianą jest dodany w ustawie Prawo bankowe art. 70a – przepis ten obliguje bank na wniosek osoby fizycznej (i nie tylko), ubiegającej się o kredyt do przekazania, w formie pisemnej, wyjaśnienia dotyczącego dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Klienci zainteresowani przyczynami, dla których bank odmawiał przyznania kredytu do tej pory byli odprawiani z kwitkiem i takiej informacji nie otrzymywali, nie wiedzieli więc do końca jakie są konkretne przyczyny odmowy przyznania kredytu czy pożyczki. Od 4 maja 2019 roku bank jest zobowiązany udzielić takich informacji na piśmie. Wyjaśnienie obejmować musi informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Jakie to dane osobowe? Na przykład wysokość innych zobowiązań, ich ilość, wysokość wynagrodzenia czy wpływów na rachunek bankowy, charakter zatrudnienia i stanowisko. W przypadku przedsiębiorców (również osób fizycznych prowadzących działalność gospodarczą) bank ma prawo od nich żądać opłaty za sporządzenie wyjaśnienia, która winna być “odpowiednia” do wysokości kredytu. Regulacje te znajdują odpowiednie zastosowanie w przypadku udzielaniu kredytów w oparciu o przepisy ustawy o kredycie konsumenckim.
Zgodnie ze znowelizowanymi przepisami prawa bankowego od 4 maja 2019 roku banki oraz inne instytucje ustawowo uprawnione do udzielania kredytów zyskują prawo przetwarzania i wzajemnej wymiany dotyczące informacji (i danych osobowych)
– jeżeli zajdzie uzasadnione podejrzenie, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 299 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie,
– uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom. Ustawodawca zastrzega, że wszelkie dane i informacje (w tym dotyczące wyroków skazujących) mogą być przetwarzane przez sektor bankowy tylko w zakresie niezbędnym do zapobiegania przestępstw. Nowo dodany przepis art 106e Prawa bankowego ogranicza w zakresie zapobiegania przestępczości (w tym również związanej z praniem brudnych pieniędzy) stosowanie art. 15 Ogólnego Rozporządzenia czyli ogranicza prawo dostępu do danych osobowych. Jeżeli stanie się to niezbędne ze względu na zwalczanie takowej przestępczości osoba, której dane dotyczą nie będzie mogła skorzystać z prawa wynikającego z tego przepisu i nie uzyska od banku oraz innej instytucji informacji czy ta przetwarza jej dane osobowe oraz w jakim zakresie to robi. Wydaje się, że podmiot sektora bankowego zwolniony będzie również z obowiązku informacyjnego (zwłaszcza w oparciu o art. 14 ust. 1 i 2 RODO).
Zmiany dotknęły także ustawę z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. W art 34. znajdował się ust. 6, zgodnie z którym przetwarzanie informacji (w tym danych osobowych) w ramach środków bezpieczeństwa finansowego stosowanych przez instytucje finansowe (w tym banki) odbywało się bez wiedzy osób, których te informacje dotyczą. Przepis ten z dniem 4 maja 2019 roku uchylono. W art. 66 ustawy wprowadzono zmianę dotyczącą stosowania przepisów o ochronie danych osobowych przy prowadzeniu Centralnego Rejestru Beneficjentów Rzeczywistych czyli systemu teleinformatycznego służącego przetwarzaniu informacji o beneficjentach rzeczywistych spółek: jawnych, komandytowych, komandytowoakcyjnych, spółek z o. o. oraz akcyjnych poza spółkami publicznymi w rozumieniu ustawy z dnia 29 lipca 2005 r. o ofercie publicznej i warunkach wprowadzania instrumentów finansowych do zorganizowanego systemu obrotu oraz o spółkach publicznych. Administratorem danych zgromadzonych w tym rejestrze jest Minister Finansów. Zmiana polega na wyłączeniu stosowania przepisu art. 15 ust lit c) do przetwarzania danych w rejestrze. Oznacza ona, iż osoba której dane dotyczą, jeśli skorzysta z prawa dostępu do swoich danych nie otrzyma informacji o odbiorcach tych danych lub kategoriach odbiorców, którym dane zostały lub zostaną ujawnione zwłaszcza o odbiorcach w państwach trzecich i organizacjach międzynarodowych (np. Interpol).
Przepisy ustawy z 21 lutego 2019 r. regulują także gromadzenie danych osobowych o kandydatach na członków zarządów lub rad nadzorczych oraz osób ubiegających się o pełnienie innej kluczowej funkcji w banku. Osoby te są zobowiązane przedłożyć na żądanie banku:
– dokumenty lub oświadczeń dotyczących: zmiany imienia, nazwiska lub obywatelstwa oraz sytuacji materialnej i stanu majątku;
– informacje niezbędne do oceny czy kandydat daje rękojmię kwalifikacji na dane stanowisko dotyczących: adresu zamieszkania lub pobytu, wykształcenia, zawodu, umiejętności i doświadczenia zawodowego, w tym dotychczasowego przebiegu pracy zawodowej, ukończonych szkoleń zawodowych, miejsca i stanowiska pracy oraz funkcji pełnionych w organach podmiotów sektora finansowego,
– informacje dotyczące postępowań karnych i postępowań w sprawach o przestępstwa skarbowe prowadzonych przeciwko kandydatowi na członka zarządu lub rady nadzorczej lub osobie ubiegającej się o pełnienie innej kluczowej funkcji w banku,
– informacje dotyczące nałożonych sankcji administracyjnych oraz sankcji administracyjnych nałożonych na inne podmioty w związku z zakresem odpowiedzialności kandydata na członka zarządu lub rady nadzorczej lub osoby ubiegającej się o pełnienie innej kluczowej funkcji w banku,
– informacje o postępowaniach sądowych, które mogą mieć negatywny wpływ na reputację kandydata na członka zarządu lub rady nadzorczej lub osoby ubiegającej się o pełnienie innej kluczowej funkcji w banku, oraz postępowań administracyjnych, dyscyplinarnych lub egzekucyjnych, w których występował lub występuje jako strona,
– informacje o stopniu znajomości języka polskiego oraz języków obcych, – informacje o sposobie działania w życiu, środowisku i kontaktach zawodowych oraz sposobie zachowania się wobec osób pokrzywdzonych przez jego działania. Jak widać kandydaci na członków zarządów czy rad nadzorczych banków (oraz innych kluczowych funkcji) są więc zobowiązani do udostępnienia na swój temat bardzo wielu informacji i to w oparciu o przepisy prawa a nie zgodę. Ustawodawca ustala również okres przechowywania tych danych
– bank jako ich administrator przechowuje je przez okres 25 lat. Regulacje te znajdują odpowiednie zastosowanie do banków spółdzielczych. Zmiany w przepisach dotykają więc klientów banków (całego sektora finansowego) i mają wpływ na bezpieczeństwo ich danych oraz, przede wszystkim, na realizację praw tych osób, które niejednokrotnie zostały przepisami szczególnymi ograniczone.
fot. źródło : gdpr.pl
← Turniej charytatywny już po raz piąty
DZIEŃ DZIECKA Z POLICYJNYM AKCENTEM →