Jak długo firma pożyczkowa może przechowywać dane po odrzuconym wniosku?

Czas przechowywania danych przez firmę pożyczkową po odrzuceniu wniosku zależy od skomplikowanej kolizji przepisów RODO oraz rygorystycznej ustawy AML. Choć konsumenci często oczekują natychmiastowego usunięcia swojego numeru PESEL czy adresu po wydaniu decyzji negatywnej, instytucje finansowe są prawnie zobligowane do zachowania części z nich. W praktyce oznacza to, że Twoja tożsamość nie znika z serwerów z dnia na dzień, jednak najnowsze orzecznictwo znacząco ogranicza samowolę pożyczkodawców.

Jako analityk rynku finansowego regularnie spotykam się z pytaniami o to, co dokładnie dzieje się z naszymi informacjami, gdy system wyświetli komunikat “wniosek odrzucony”. Odpowiedź wymaga spojrzenia głęboko w procedury compliance, Środki Bezpieczeństwa Finansowego (ŚBF) oraz bezprecedensowe wyroki sądowe, które właśnie rewolucjonizują polski rynek pożyczkowy.

Przełomowy wyrok NSA z 2025 roku: Koniec ze scoringiem “na zapas”

Naczelny Sąd Administracyjny w wyroku z 13 lutego 2025 roku kategorycznie zakazał bankom i firmom pożyczkowym przetwarzania danych niedoszłych klientów do budowania modeli scoringowych. Historyczny wyrok NSA sygn. III OSK 6563/21 to absolutny kamień milowy w polskim prawie ochrony danych. Przez lata instytucje finansowe tłumaczyły, że nawet jeśli nie udzieliły finansowania, muszą zatrzymać dane (takie jak dochody, wiek czy historia zatrudnienia), aby “uczyć” swoje algorytmy oceny ryzyka. Powoływano się przy tym na prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).

Obecnie sytuacja jest jasna. Sąd orzekł, że jeśli nie doszło do podpisania umowy, instytucja traci prawo do profilowania i oceny zdolności kredytowej na podstawie tych informacji, co potwierdzają oficjalne komunikaty organu nadzorczego [Źródło 1]. Fundamentalna zasada ograniczenia przechowywania (retencja danych według art. 5 ust. 1 lit. e RODO) wzięła tu górę nad wygodą korporacji. Standardowy czas 12 miesięcy, przez który tzw. zapytania kredytowe “wisiały” w BIK i obniżały ocenę klienta, w przypadku odrzuconych wniosków musi zostać skrócony do zera – na żądanie konsumenta zapytania te muszą być natychmiast wycofane.

Obowiązek AML, czyli dlaczego PESEL musi zostać w systemie

Odrzucenie wniosku o pożyczkę nie oznacza automatycznego prawa do bycia zapomnianym, ponieważ instytucje pożyczkowe podlegają rygorystycznym przepisom o przeciwdziałaniu praniu pieniędzy. Każda firma udzielająca finansowania jest w świetle prawa tzw. instytucją obowiązaną. Zanim system algorytmiczny wydał decyzję odmowną, pożyczkodawca musiał przeprowadzić identyfikację i weryfikację tożsamości klienta.

Te procedury to nic innego jak Środki Bezpieczeństwa Finansowego (ŚBF) (znane szerzej jako KYC/CDD). Zgodnie z art. 49 ustawy o AML, kopie dokumentów oraz informacje uzyskane podczas tej weryfikacji muszą być bezwzględnie przechowywane przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku weryfikacji. Jak wskazują eksperci z zakresu prawa LendTech [Źródło 2], zgoda klienta nie ma tu żadnego znaczenia. Podstawą prawną jest wypełnienie obowiązku ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), co stanowi nieprzekraczalną barierę dla roszczeń o natychmiastowe usunięcie danych.

Zestawienie terminów: Ile czasu firma przetrzymuje Twoje dane?

Aby ustrukturyzować wiedzę na temat okresów retencji, należy podzielić cel przetwarzania na poszczególne kategorie prawne. Poniższa tabela szczegółowo ilustruje aktualne limity czasowe obowiązujące na polskim rynku.

Nietypowe ujęcie problemu: Czego nie dowiesz się ze zwykłych poradników

Prawo ochrony danych w sektorze FinTech jest pełne niuansów, o których rzadko mówi się publicznie. O ile terminy ustawowe są w miarę czytelne, o tyle wdrożenie ich w architekturze systemów IT rodzi specyficzne, rzadko omawiane komplikacje techniczno-prawne.

Zjawisko “False Positive” a trwałe zablokowanie tożsamości

Odrzucony wniosek pożyczkowy bywa czasem wynikiem zjawiska false positive (błędne trafienie) w systemach bezpieczeństwa. Sytuacja ta ma miejsce, gdy dane niewinnego konsumenta przypadkowo pokrywają się z danymi osoby wpisanej na listy sankcyjne lub listy PEP (Osoby Zajmujące Eksponowane Stanowiska Polityczne). Jak analizują prawnicy z zakresu technologii [Źródło 3], firma pożyczkowa musi zamrozić takie dane. Nawet jeśli wniosek zostaje odrzucony z powodu fałszywego alertu, logi systemowe i sam incydent muszą pozostać w zamkniętej architekturze bazy danych, aby udowodnić KNF lub organom śledczym, że algorytm zadziałał prewencyjnie. Dla konsumenta oznacza to, że jego “profil” jest przechowywany ze znacznikiem wysokiego ryzyka.

Interwencja GIIF i podwojenie czasu retencji

Kolejnym, głęboko ukrytym aspektem jest rola organu, jakim jest GIIF (Generalny Inspektor Informacji Finansowej). Zgodnie z przepisami, w szczególnych przypadkach uzasadnionych podejrzeniem prania brudnych pieniędzy, GIIF może zażądać od firmy pożyczkowej wydłużenia okresu przechowywania danych z odrzuconego wniosku o kolejne 5 lat. Oznacza to potencjalnie dekadę przetwarzania danych wrażliwych bez zgody i wiedzy niedoszłego pożyczkobiorcy, co jest całkowicie zgodne z nadrzędnym interesem państwa.

Prawo do bezpłatnego wyjaśnienia na mocy art. 59d UKK

Zanim dane trafią do cyfrowej zamrażarki w celach dowodowych, firma pożyczkowa potrzebuje ich na krótki czas, aby spełnić obowiązek nałożony przez art. 59d Ustawy o kredycie konsumenckim (UKK). Zgodnie z tym przepisem, po odrzuceniu wniosku z powodu wpisu w bazach dłużników (np. BIK czy BIG), pożyczkodawca musi precyzyjnie wyjaśnić klientowi, która konkretnie baza stanowiła podstawę decyzji. Przechowywanie danych w tym wąskim celu służy wyłącznie zagwarantowaniu transparentności algorytmicznej dla samego konsumenta.

Praktyka audytorska: Jak instytucje omijają przepisy?

W mojej codziennej audytorskiej praktyce zauważyłem, że najczęstszym błędem lub celowym zabiegiem firm pożyczkowych jest “wrzucanie” wszystkich danych do jednego worka o nazwie obrona przed roszczeniami. Zgodnie z art. 118 Kodeksu cywilnego, ogólny termin przedawnienia wynosi 6 lat. Firmy argumentują, że przechowują szczegółowe dane z odrzuconego wniosku, bo klient może wytoczyć im proces o dyskryminację.

Jednakże, jak widać na przykładzie zaktualizowanych polityk prywatności rynkowych liderów [Źródło 4], prawidłowo wdrożone RODO wymaga tzw. minimalizacji. Firma może zachować przez te 6 lat wyłącznie imię, nazwisko, numer PESEL i sam fakt odrzucenia wniosku. Przetrzymywanie przez 6 lat informacji o tym, ile dany konsument wydawał miesięcznie na zakupy spożywcze (dane z analizy PSD2/Open Banking przy wniosku) stanowi rażące naruszenie zasady adekwatności. Sądy coraz częściej przyznają w tej kwestii rację konsumentom, zmuszając instytucje finansowe do rzetelnej segmentacji cyfrowych archiwów [Źródło 5].

Podsumowanie

Jeśli Twój wniosek o pożyczkę został odrzucony, nie musisz obawiać się, że firma będzie handlować Twoimi danymi lub używać ich do nachalnego marketingu. Te procesy, łącznie z profilowaniem BIK, muszą zostać wstrzymane natychmiast. Niemniej, ze względu na architekturę prawną systemu finansowego (AML) oraz okresy przedawnienia sporów, cyfrowy ślad w postaci podstawowych danych identyfikacyjnych bezpiecznie “zaśnie” na serwerach pożyczkodawcy na najbliższe 5 do 6 lat.

Bibliografia i źródła

• [Źródło 1] Stanowiska i komunikaty Urzędu Ochrony Danych Osobowych (uodo.gov.pl)
• [Źródło 2] Analizy prawne z zakresu LendTech i AML (kancelariamacura.pl)
• [Źródło 3] Zderzenie RODO i procedur bezpieczeństwa finansowego (legalgeek.pl)
• [Źródło 4] Polityka Prywatności i case study wdrożeń komercyjnych (provident.pl)
• [Źródło 5] Orzecznictwo i komentarze do prawa cywilnego (rp.pl)

FAQ – najczęściej zadawane pytania