Błędny wpis w systemach AML i „czarna lista banków”: jak wymusić sprostowanie danych i odzyskać finansowanie
Seryjna odmowa kredytu i leasingu mimo czystego BIK to jeden z najbardziej frustrujących scenariuszy w praktyce przedsiębiorcy: decyzja negatywna przychodzi bez uzasadnienia, bo uzasadnienia mieć nie może. Wnioskodawca z wysoką oceną punktową, czystymi raportami z rejestrów bankowych, zaświadczeniem o niekaralności i wieloletnią historią terminowej obsługi zobowiązań słyszy odmowę raz, drugi, trzeci, zawsze w podobnym typie instytucji i zawsze bez wyjaśnienia.
W języku potocznym funkcjonuje na to określenie czarna lista banków; w języku regulacyjnym mówi się o de-riskingu, a w znacznej części przypadków chodzi po prostu o błędny wpis w systemach AML i bazach ryzyka sektora finansowego: fałszywe trafienie (false positive) wynikające z pomylenia tożsamości.
Ten artykuł pokazuje, jak taki błąd zdiagnozować, gdzie go szukać i jakimi narzędziami prawnymi, od RODO po Prawo bankowe, doprowadzić do sprostowania danych i odzyskania dostępu do finansowania.
Niewidzialna odmowa: dlaczego nikt nie powie, co jest nie tak
Instytucja finansowa, która odmawia finansowania z przyczyn związanych z przeciwdziałaniem praniu pieniędzy, jest związana podwójnym węzłem milczenia. Po pierwsze, tajemnicą bankową i tajemnicą przedsiębiorstwa obejmującą metodykę oceny ryzyka. Po drugie, i to jest węzeł mocniejszy, zakazem ujawniania informacji o czynnościach podejmowanych w reżimie ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu; art. 54 tej ustawy zabrania informowania kogokolwiek, w tym samego zainteresowanego, o przekazaniu informacji Generalnemu Inspektorowi Informacji Finansowej. W żargonie międzynarodowym nazywa się to zakazem tipping-off i stanowi on standard globalny, wynikający z Rekomendacji FATF.
Skutek jest paradoksalny: im poważniejsze podejrzenie system przypisał klientowi, tym mniej klient może się o nim dowiedzieć. A ponieważ analityk compliance odpowiada służbowo za przepuszczenie ryzykownego klienta, natomiast za odmowę wobec klienta uczciwego nie odpowiada przed nikim, rachunek motywacji jest jednostronny: w razie wątpliwości taniej jest odmówić. FATF od lat wskazuje, że tak rozumiany de-risking podważa skuteczność całego systemu, bo wypycha legalną aktywność poza sektor regulowany; dla pojedynczego przedsiębiorcy ta konstatacja jest jednak słabym pocieszeniem. Wymiar jednostkowy zjawiska bynajmniej nie jest abstrakcyjny: opisywałem go w tekście o człowieku, który stracił trzysta milionów funtów, bo jego bank nabrał podejrzeń, studium tego, jak podejrzenie, raz powzięte, wyprzedza i wyjaśnienie, i proporcję.
Skąd się biorą fałszywe trafienia: mechanika screeningu
Systemy screeningowe nie porównują tożsamości, tylko ciągi znaków. Silnik dopasowujący pracuje na tak zwanym dopasowaniu rozmytym: nazwisko plus data urodzenia, z tolerancją na transliteracje, zdrobnienia i literówki. To rozwiązanie celowe, bo system nastawiony na dopasowania ścisłe przepuszczałby osoby ukrywające tożsamość. Ceną celowej nadwrażliwości jest jednak masowa produkcja fałszywych trafień: osoba o popularnym nazwisku i zbieżnej dacie urodzenia z figurantem sprawy karnej dziedziczy jego profil ryzyka, choć nie łączy ich nic poza metryką.
Grupa Wolfsberg, zrzeszająca największe banki globalne, w wytycznych dotyczących screeningu negatywnych doniesień z 2022 r. rekomenduje rozstrzyganie takich trafień przez identyfikatory wtórne: drugie imię, imiona rodziców, miejsce urodzenia, numer identyfikacyjny, adres. Jeżeli identyfikatory wtórne się rozjeżdżają, trafienie powinno zostać zdyskontowane jako fałszywe. Problem w tym, że dyskontowanie wymaga danych, których system często nie ma, oraz czasu analityka, którego instytucja nie chce wydawać na wniosek o umiarkowanej marży. Wniosek praktyczny płynie stąd taki, że pokrzywdzony musi te identyfikatory wtórne dostarczyć sam, w formie gotowej do użycia, i o tym będzie mowa dalej.
Diagnoza różnicowa: wzorzec odmów jako materiał dowodowy
Zanim sięgnie się po narzędzia prawne, trzeba ustalić, w której warstwie infrastruktury siedzi błąd. Paradoksalnie najlepszym materiałem diagnostycznym są same odmowy, a ściślej ich rozkład. Instytucje finansowe różnią się architekturą compliance: część opiera się przede wszystkim na globalnych bazach screeningowych (typu World-Check prowadzonej przez LSEG czy rozwiązaniach Dow Jones i LexisNexis), część na krajowej infrastrukturze wymiany informacji budowanej wokół Prawa bankowego i instytucji sektorowych. Zanim jednak w ogóle wejdzie się na ten poziom, higiena diagnostyczna wymaga wykluczenia przyczyny trywialnej: zwykłego wpisu w rejestrach dłużników. Raport o sobie i rejestr zapytań we wszystkich czterech biurach informacji gospodarczej zamykają ten wątek w kilka dni, a ścieżkę postępowania ze spornym wpisem opisaliśmy odrębnie w tekście o usuwaniu wpisów z KRD i BIG; rejestr zapytań warto przy tym zachować, bo później posłuży jako dowód rozmiaru szkody.
Jeżeli odmowy koncentrują się w podmiotach należących do krajowych grup bankowych, a te same przedmioty finansowania akceptują bez oporu instytucje o zagranicznych strukturach compliance, to hipoteza robocza brzmi: błąd tkwi w krajowym systemie międzyinstytucjonalnym, nie w bazach globalnych. Hipotezę wzmacnia pisemne potwierdzenie od operatora bazy globalnej o braku rekordu, które można uzyskać na wniosek. Podkreślmy status epistemiczny tego rozumowania: to dowód poszlakowy, wysoce prawdopodobny, lecz wymagający weryfikacji w toku sprawy; wzorzec odmów zawęża pole poszukiwań, ale go nie zamyka.
Mapa terenu: warstwa komercyjna i warstwa zamknięta
Infrastrukturę danych, w której może tkwić błędne oznaczenie, warto podzielić na dwie warstwy, bo do każdej prowadzi inna droga prawna.
Warstwa pierwsza, komercyjna i co do zasady dostępna, to wywiadownie gospodarcze i dostawcy danych ryzyka: podmioty takie jak CRIF, Dun & Bradstreet, InfoCredit, Transparent Data, Moody’s z bazą Orbis, LexisNexis, Dow Jones czy LSEG z World-Check. Wobec nich przysługuje pełen pakiet uprawnień z RODO, z prawem dostępu z art. 15 na czele.
Warstwa druga, sektorowa i zamknięta, to systemy wymiany informacji tworzone na podstawie art. 106d Prawa bankowego, który pozwala bankom i innym wskazanym w nim instytucjom przetwarzać i wzajemnie udostępniać informacje, także objęte tajemnicą bankową, w przypadkach uzasadnionego podejrzenia przestępstw popełnianych na szkodę sektora lub jego klientów oraz w wykonaniu ustawowych obowiązków z zakresu przeciwdziałania praniu pieniędzy. Praktycznym wcieleniem tej normy są systemy prowadzone przez Związek Banków Polskich, w tym utrwalony System Wymiany Ostrzeżeń o Zagrożeniach, oraz, wśród platform współczesnych wiodące, Sektorowe Centrum Usług AML działające w Krajowej Izbie Rozliczeniowej. Do tej warstwy ustawodawca dobudował art. 106e Prawa bankowego, który wobec wymienionych w nim podmiotów, obejmujących banki, instytucje kredytowe oraz niektóre przedsiębiorstwa leasingowe i faktoringowe, wyłącza stosowanie art. 15 RODO: podmiot danych nie zajrzy do rekordu, który o nim krąży. Podkreślmy jednak od razu: wyłączenie ogranicza się literalnie do art. 15, natomiast art. 16 i art. 18 pozostają nietknięte, na czym zbudowana jest dalsza część wywodu. Konstrukcyjnie jest to krajowe ograniczenie praw podmiotu danych oparte na art. 23 ust. 1 lit. d i e RODO, a ograniczenia praw zasadniczych wykłada się ściśle; co więcej, nawet wyłączenie art. 15 działa tylko w zakresie, w jakim jest to niezbędne dla realizacji ustawowych celów prewencyjnych, nie zaś automatycznie i w całości. Osobną, trzecią przestrzenią jest sfera zawiadomień kierowanych do GIIF; ta pozostaje poza zasięgiem jakichkolwiek działań pełnomocnika z uwagi na wspomniany art. 54 ustawy AML i uczciwy doradca powie to klientowi na wstępie. Nie przekreśla to celu, ponieważ decyzje kredytowe i leasingowe napędza warstwa screeningowa, a ta jest osiągalna.
Dwa rozgraniczenia porządkują pole, zanim sięgniemy po narzędzia. Po pierwsze, instrumentarium RODO przysługuje osobom fizycznym, w tym przedsiębiorcom wpisanym do CEIDG; spółka jako osoba prawna z niego nie skorzysta (motyw 14 RODO). W praktyce screeningowej oznaczenie i tak jednak zwykle wisi na danych konkretnego człowieka, beneficjenta rzeczywistego albo członka zarządu, więc droga odżywa przez jego dane, a dla samej spółki równolegle biegną tryb ustawy o udostępnianiu informacji gospodarczych i ochrona dóbr osobistych. Po drugie, rejestry dłużników mają własny, ustawowy tryb korekty, ze sprzeciwem z art. 21a tej ustawy na czele, który w ich obrębie wypiera sięganie po art. 16 RODO; systemy z art. 106d Prawa bankowego żadnego trybu nie przewidują i właśnie dlatego art. 16 stosuje się tam wprost.
Zestaw narzędzi z RODO: najpierw zamrożenie, potem korekta
Intuicja podpowiada, żeby zacząć od żądania sprostowania. Praktyka podpowiada inaczej: pierwszym ruchem powinno być ograniczenie przetwarzania. Zgodnie z art. 18 ust. 1 lit. a RODO osoba, której dane dotyczą, ma prawo żądać ograniczenia przetwarzania na okres pozwalający administratorowi sprawdzić prawidłowość zakwestionowanych danych. Skutek praktyczny jest natychmiastowy i nie wymaga rozstrzygnięcia sporu co do meritum: administrator powinien wstrzymać udostępnianie spornego rekordu instytucjom odpytującym. Zamrożenie działa więc szybciej niż korekta i kupuje czas na przeprowadzenie właściwego sporu.
Równolegle kieruje się żądanie sprostowania z art. 16 RODO. Konstrukcja tego przepisu jest mniej oczywista, niż się wydaje: administrator ma obowiązek sprostować dane dopiero wtedy, gdy wnioskodawca wykaże ich nieprawidłowość, rozumianą obiektywnie jako niezgodność danych z rzeczywistością, i to na podmiocie danych spoczywa ciężar tego wykazania; po jego udźwignięciu sprostowanie należy się niezwłocznie. Dlatego siła żądania zależy w całości od jakości pakietu identyfikacyjnego: odpis zupełny aktu urodzenia z imionami rodziców, numer PESEL, zaświadczenie o niekaralności z KRK, raporty z rejestrów sektorowych, pisemne potwierdzenia braku rekordu w bazach globalnych. To jest dokładnie ten zestaw identyfikatorów wtórnych, o których mówią wytyczne Wolfsberg; pismo powinno podać je analitykowi w formie gotowej do zdyskontowania trafienia. Konstrukcja pisma ma przy tym uwzględniać rachunek motywacji po drugiej stronie: korekta musi być dla zespołu compliance dostawcy opcją najniższego ryzyka, z udokumentowaną nieprawidłowością po jednej stronie i perspektywą odpowiedzialności odszkodowawczej z art. 82 RODO po stronie odmowy. Administrator ma na odpowiedź miesiąc, zgodnie z art. 12 ust. 3 RODO; w praktyce sporów z globalnymi dostawcami standardowe przypadki zamykają się w 20 do 40 dni, złożone w 60 do 90 dni, przy czym są to dane z doświadczenia praktyki, nie normy.
Art. 19 RODO: jak dosięgnąć baz, których nie znamy z nazwy
Największą trudnością w tego typu sprawach nie jest korekta rekordu, który znamy, lecz istnienie rekordów, o których nie wiemy. Błędne oznaczenie propaguje się między systemami: dostawca sprzedaje dane subskrybentom, subskrybent zasila własną bazę, ta zasila kolejną. Odpowiedzią jest art. 19 RODO: administrator, który sprostował dane, ma obowiązek poinformować o tym każdego odbiorcę, któremu dane ujawnił, a na żądanie osoby zainteresowanej wskazać tych odbiorców. Każda wygrana korekta generuje więc mapę dalszej propagacji, a na tej mapie żądania się powtarza. Metoda jest iteracyjna i wymaga dyscypliny w prowadzeniu matrycy terminów, ale rozwiązuje problem pozornie nierozwiązywalny: dociera do baz, których nazw pokrzywdzony na starcie nie zna. Uczciwość każe dodać, że obowiązek notyfikacji ma dwa ustawowe wentyle: nie ciąży na administratorze, gdy okazuje się niemożliwy do wykonania lub wymagałby niewspółmiernie dużego wysiłku. W sporze z profesjonalnym dostawcą danych ten wentyl rzadko jednak zadziała, bo model biznesowy takiego podmiotu polega na systematycznym udostępnianiu rekordów zidentyfikowanym, zalogowanym subskrybentom; krąg odbiorców jest więc udokumentowany, powiadomienie sprowadza się do operacji w systemie, a sam obowiązek, służący zasadzie prawidłowości danych z art. 5 ust. 1 lit. d RODO, powinien być wykonany niezwłocznie.
Warstwa zamknięta: asymetria, która działa na korzyść pokrzywdzonego
Najciekawszy prawnie węzeł dotyczy systemów zamkniętych. Art. 106e Prawa bankowego wyłącza prawo dostępu, ale w swojej literalnej treści nie wyłącza prawa do sprostowania z art. 16 RODO. Żądanie sprostowania można więc złożyć niejako w ciemno: twierdzimy, że w systemie funkcjonuje rekord błędnie wiążący naszą tożsamość z cudzą historią, i dostarczamy pakiet identyfikacyjny pozwalający tę tezę zweryfikować. Skoro zaś wyłączenie ogranicza się do prawa dostępu, to tym bardziej wobec warstwy zamkniętej pozostaje otwarte żądanie ograniczenia przetwarzania z art. 18 ust. 1 lit. a, zamrażające dalsze udostępnianie na czas sporu. Trzeba uczciwie powiedzieć, że dowodowo jest to pozycja niewygodna, bo administrator może zasłaniać się niemożnością ujawnienia treści rekordu.
I tu pojawia się dźwignia, która całą konstrukcję domyka: kompetencje kontrolne Prezesa Urzędu Ochrony Danych Osobowych z art. 58 RODO nie doznają ograniczenia analogicznego do art. 106e. Organ nadzorczy może zażądać od administratora dostępu do wszelkich danych i informacji niezbędnych do realizacji swoich zadań, a następnie, na podstawie art. 58 ust. 2 lit. g RODO, nakazać sprostowanie; ślady korzystania z tych kompetencji w sprawach bankowych znaleźć można w publikowanych decyzjach organu. Mówiąc obrazowo: organ zobaczy rekord, którego stronie zobaczyć nie wolno. Praktyka orzecznicza potwierdza, że Prezes UODO skutecznie egzekwuje swoje kompetencje wobec banków w materii objętej tajemnicą bankową; linia orzecznicza Naczelnego Sądu Administracyjnego dotycząca przetwarzania danych byłych klientów banków pokazała, że tajemnica sektorowa nie jest tarczą przeciwko nadzorowi ochrony danych, a organ wygrał przed NSA całą serię spraw na tym tle. Z praktyki wynika również obserwacja, którą podaję jako spostrzeżenie, nie regułę: samo wezwanie administratora przez organ do złożenia wyjaśnień bywa wystarczającym impulsem do korekty, bez czekania na decyzję administracyjną.
Obraz byłby niepełny bez odnotowania praktyki mniej korzystnej, i to z pierwszych lat obowiązywania przepisu. W decyzji z 20 lutego 2020 r. (ZKE.440.67.2019) Prezes UODO odmówił skarżącej zarówno ujawnienia, kto zainicjował wpis w międzybankowej bazie, jak i nakazania jego usunięcia, argumentując, że cel art. 106d Prawa bankowego, czyli prewencja przestępstw na szkodę banków i ich klientów, zostałby unicestwiony, gdyby zbieranie danych rodziło obowiązek powiadamiania osób, których dotyczą. Ta sama decyzja potwierdza jednak obraną tu strategię w dwóch punktach. Po pierwsze, skarżąca żądała dostępu i wykreślenia, a nie sprostowania; to właśnie te żądania rozbijają się o art. 106e i o cel przepisu, podczas gdy zasada prawidłowości danych z art. 5 ust. 1 lit. d RODO wiąże administratora niezależnie od wyłączenia i to na niej należy budować. Po drugie, wymownie: zanim zapadło rozstrzygnięcie, bank sam skorygował sporny wpis, zastępując kategoryczną adnotację formułą neutralną, co ilustruje tezę, że zainteresowanie organu bywa skuteczniejsze od jego decyzji.
Dlaczego usunięcie wpisu nie kończy sprawy: adnotacja rozróżniająca
Naturalnym celem pokrzywdzonego jest wykreślenie wpisu. Cel to jednak źle postawiony, i warto zrozumieć dlaczego. Skoro silnik screeningowy dopasowuje rozmyto po nazwisku i dacie urodzenia, to usunięcie rekordu z jednej bazy nie zapobiegnie ponownemu trafieniu przy następnym odpytaniu innej bazy, w której figurant o zbieżnych danych nadal legalnie widnieje, bo jego rekord jest prawdziwy. Alert będzie wracał jak echo.
Trwałym rozwiązaniem jest więc para: adnotacja rozróżniająca u administratorów, dokumentująca zweryfikowany fałszywy alarm i wskazująca cechy odróżniające obie osoby, oraz pakiet jednoznacznej identyfikacji po stronie klienta, przedkładany przy każdym wniosku o finansowanie. Adnotacja nie jest przy tym uprzejmością administratora, lecz realizacją prawa: art. 16 zdanie drugie RODO przyznaje żądanie uzupełnienia danych niekompletnych, w tym poprzez przedstawienie dodatkowego oświadczenia, a kompletność ocenia się przez pryzmat celów przetwarzania; rekord, który nie pozwala odróżnić dwóch osób, jest dla celu prewencyjnego niekompletny w stopniu oczywistym. Chodzi o to, by analityk compliance mógł zamknąć alert w kilka minut, w sposób dla siebie służbowo obronny, zamiast eskalować odmowę. Wygrywa się tu nie z systemem, lecz z rachunkiem czasu analityka: trzeba mu dać dokument, który czyni zgodę tańszą od odmowy.
Po stronie instytucji finansującej: art. 22 ust. 3 RODO i art. 70a Prawa bankowego
Równolegle do sporu z administratorami baz warto pracować po stronie instytucji, które odmówiły. Wobec banków punktem wyjścia jest nie tyle ogólny art. 22 ust. 3 RODO, ile jego krajowe uszczegółowienie: art. 105a ust. 1a Prawa bankowego pozwala bankom podejmować decyzje kredytowe wyłącznie w oparciu o zautomatyzowane przetwarzanie, w tym profilowanie, ale pod warunkiem zapewnienia osobie, której decyzja dotyczy, prawa do stosownych wyjaśnień co do podstaw decyzji, do interwencji ludzkiej w celu podjęcia ponownej decyzji oraz do wyrażenia własnego stanowiska. Automatyzacja jest więc w polskim prawie bankowym warunkowa, a triada tych uprawnień przysługuje z mocy ustawy, bez potrzeby wygrywania sporu o to, czy decyzja była wyłącznie zautomatyzowana w rozumieniu RODO; do wyjaśnień przy ocenach w pełni zautomatyzowanych stosuje się odpowiednio art. 70a (ust. 3a). Konstrukcyjnie art. 105a ust. 1a jest dokładnie tym, co art. 22 ust. 2 lit. b RODO nazywa prawem państwa członkowskiego dopuszczającym decyzję zautomatyzowaną pod warunkiem właściwych środków ochrony; triada uprawnień to właśnie te środki. A gdy instytucja broni się udziałem człowieka, odpowiedź dają orzecznictwo i wytyczne: Trybunał Sprawiedliwości w wyroku z 7 grudnia 2023 r. w sprawie C-634/21, SCHUFA uznał, że już zautomatyzowane wyliczenie przez biuro informacji kredytowej wartości prawdopodobieństwa jest decyzją zautomatyzowaną w rozumieniu art. 22 ust. 1 RODO, jeżeli od tej wartości w decydujący sposób zależy, czy strona trzecia nawiąże, wykona lub zakończy stosunek umowny z osobą, której dane dotyczą, i to mimo że kto inny profiluje, a kto inny formalnie decyduje (pkt 48 do 50). Formuła sentencji obejmuje więc nie tylko odmowę nawiązania relacji, lecz także jej wykonywanie i zakończenie, co czyni wyrok wprost użytecznym tam, gdzie de-risking przybiera postać wypowiedzenia istniejącej umowy. Udział człowieka wykreowany sztucznie, sprowadzony do zatwierdzania gotowych wyników bez wpływu na ich treść, nie wyłącza tego reżimu (wytyczne Grupy Roboczej Art. 29, WP 251).
Z kwalifikacji płyną trzy dalsze konsekwencje.
Po pierwsze, art. 22 ust. 1 ustanawia zakaz co do zasady, na który nie trzeba się indywidualnie powoływać (pkt 52); to administrator scoringu musi wskazać wyjątek z art. 22 ust. 2, a wobec komercyjnych dostawców trudno w polskim prawie o odpowiednik §31 niemieckiej BDSG zdolny pełnić rolę podstawy z lit. b, co stawia ich pozycję pod znakiem zapytania, choć ocena ta pozostaje argumentacyjna, nie przesądzona.
Po drugie, kwalifikacja otwiera wobec samego dostawcy rozszerzone prawo dostępu z art. 15 ust. 1 lit. h RODO, czyli żądanie istotnych informacji o zasadach podejmowania decyzji; Trybunał wskazał wprost, że bez tej kwalifikacji powstawałaby luka w ochronie, bo instytucja finansująca tych informacji nie posiada, a dostawca mógłby odmawiać (pkt 61 do 63), przy czym granice zasłaniania się tajemnicą przedsiębiorstwa doprecyzował późniejszy wyrok z 27 lutego 2025 r. w sprawie C-203/22, Dun & Bradstreet Austria.
Po trzecie, prawo krajowe dopuszczające taką decyzję musi przewidywać środki ochronne obejmujące, w ślad za motywem 71 RODO, adekwatne procedury matematyczne i statystyczne oraz środki techniczne i organizacyjne minimalizujące ryzyko błędów i zapewniające korektę nieprawidłowości (pkt 65 do 66); silnik dopasowań rozmytych pozbawiony mechanizmu rozróżniania osób jest z tej perspektywy wadliwy już na poziomie zabezpieczeń, co dodatkowo wspiera żądanie sprostowania i adnotacji. Dla naszej sprawy oznacza to, że reżim decyzji zautomatyzowanej może obejmować już samą warstwę screeningową dostawcy danych, nie dopiero bank, a dowodem przesłanki decydującego wpływu jest ten sam wzorzec odmów, który służył diagnozie: zależność, w której negatywne oznaczenie pociąga odmowę w prawie wszystkich przypadkach, to dokładnie stan opisany przez Trybunał (pkt 48).
Sam art. 70a Prawa bankowego jest przy tym narzędziem mocniejszym, niż sugeruje jego lakoniczna treść. Prawo do pisemnego wyjaśnienia dokonanej oceny zdolności kredytowej przysługuje każdemu ubiegającemu się o kredyt, osobie fizycznej, prawnej i jednostce organizacyjnej, a od nowelizacji obowiązującej od 29 września 2023 r. kredytodawca musi z własnej inicjatywy, jasno i na trwałym nośniku, pouczyć o tym uprawnieniu i o rocznym terminie na złożenie wniosku; odpowiedź przekazuje niezwłocznie, najpóźniej w terminie 30 dni. Co istotne, Komisja Nadzoru Finansowego w komunikacie z 21 lipca 2020 r. przesądziła, że wyjaśnienie nie może sprowadzać się do ogólnych kategorii danych: ma zawierać zindywidualizowane, konkretne informacje o czynnikach, w tym danych osobowych, które zaważyły na ocenie, wraz ze wskazaniem środków, jakie wnioskodawca może przedsięwziąć, by usunąć przeszkody. Odpowiedź ograniczona do formuły o wyniku oceny scoringowej jest z tym stanowiskiem sprzeczna i podlega kwestionowaniu. Opłata za wyjaśnienie wchodzi w grę wyłącznie wobec przedsiębiorców i musi być odpowiednia do wysokości kredytu. Granica lex lata przebiega przy tym gdzie indziej, niż się zwykle sądzi: przez art. 10 ust. 2 ustawy o kredycie konsumenckim obowiązek wyjaśnień stosuje się odpowiednio także do kredytodawców konsumenckich, w tym instytucji pożyczkowych, natomiast poza nim pozostaje leasing w obrocie profesjonalnym, co dla finansowania przedsiębiorców jest luką wartą uwagi ustawodawcy. Celem tych działań nie jest wymuszenie zgody na finansowanie, bo tej wymusić się nie da, lecz wprowadzenie materiału rozróżniającego do procedur instytucji tak, aby kolejne wnioski nie rozbijały się o ten sam automat.
Ścieżka przymusu i realizm terminów
Gdy droga polubowna zawodzi, pozostają dwa tory. Pierwszy to skarga do Prezesa UODO, wolna od opłat, z opisanym wyżej efektem dźwigni wobec warstwy zamkniętej; jej słabością jest czas, bo postępowania przed organem trwają wiele miesięcy, a bywa, że dłużej. Drugi to droga cywilna: powództwo o ochronę dóbr osobistych z art. 24 Kodeksu cywilnego, obejmujących wiarygodność kredytową i renomę przedsiębiorcy, co orzecznictwo potwierdza wprost: Sąd Najwyższy uznał, że wpis do rejestru niesolidnych dłużników oparty na nieprawdziwych informacjach narusza dobre imię i cześć wpisanego (wyrok z 24 listopada 2022 r., I NSNc 520/21), a w uchwale z 3 października 2023 r., III CZP 22/23, dopuścił zadośćuczynienie pieniężne dla osoby prawnej za naruszenie dóbr osobistych, niezależnie od wykazania szkody majątkowej, w zbiegu ze środkiem ochrony prawnej z art. 79 RODO, z wnioskiem o udzielenie zabezpieczenia na podstawie art. 755 § 1 w związku z art. 730 i n. Kodeksu postępowania cywilnego; art. 755 stanowi szczególną podstawę zabezpieczenia roszczeń niepieniężnych i pozwala sądowi unormować prawa i obowiązki stron na czas postępowania, w tym przez wstrzymanie udostępniania spornych danych. Sam kodeks nie jest tu zresztą skąpy: zabezpieczenia udziela się już przy uprawdopodobnieniu roszczenia i interesu prawnego (art. 730¹), a wnioski rozpoznawane są co do zasady na posiedzeniu niejawnym, więc zabezpieczenie bez wysłuchania obowiązanego jest prawnie dostępne. Trzeźwość należy się jednak czytelnikowi zamiast marketingu: w sprawach dotykających systemów objętych tajemnicą sektorową sądy w praktyce skłaniają się do poznania stanowiska administratora przed rozstrzygnięciem, więc realny horyzont uzyskania zabezpieczenia liczy się, wedle doświadczenia praktyki, raczej w miesiącach niż tygodniach, a proces co do meritum w latach. Roszczenie odszkodowawcze z art. 82 RODO pozostaje opcją domykającą, sensowną wtedy, gdy szkoda z utraconego finansowania da się wykazać i policzyć.
Sekwencja działań: podsumowanie
Prawidłowa kolejność wygląda następująco. Najpierw budowa pakietu identyfikacyjnego i diagnoza różnicowa na wzorcu odmów. Następnie wnioski z art. 15 RODO wszędzie tam, gdzie prawo dostępu nie zostało wyłączone, z prowadzoną rygorystycznie matrycą terminów. Równocześnie żądania ograniczenia przetwarzania z art. 18 ust. 1 lit. a wobec zidentyfikowanych administratorów, a za nimi żądania sprostowania z art. 16 z kompletem identyfikatorów wtórnych i żądaniem adnotacji rozróżniającej. Tam, gdzie dostawca sam wylicza oznaczenie lub scoring, dochodzi żądanie istotnych informacji o zasadach podejmowania decyzji z art. 15 ust. 1 lit. h RODO. Po każdej korekcie egzekucja art. 19 i powtórzenie procedury u ujawnionych odbiorców. Wobec warstwy zamkniętej żądanie sprostowania i ograniczenia mimo braku wglądu, z gotowością eskalacji do Prezesa UODO. Równolegle interwencja ludzka i wyjaśnienia oceny po stronie finansujących. Droga sądowa jako odwód, z uczciwie zakomunikowanym horyzontem czasowym.
Sprawy tego rodzaju wygrywa się rzadko jednym pismem, a prawie zawsze architekturą: właściwą kolejnością żądań, dyscypliną terminów i zrozumieniem, że po drugiej stronie nie stoi zła wola, tylko algorytm i analityk, któremu trzeba dać powód, by zgoda była dla niego bezpieczniejsza od odmowy. Kancelaria Prawna Skarbiec prowadzi sprawy sprostowania danych w bazach sektora finansowego, sporów z dostawcami danych oraz postępowań przed Prezesem UODO; przedsiębiorców, którzy rozpoznają u siebie opisany wzorzec seryjnych odmów, zapraszamy do kontaktu w celu oceny sprawy.
Najczęstsze pytania (FAQ)
Jak sprawdzić, czy jestem na czarnej liście banków?
Formalnie czarna lista banków nie istnieje; istnieją natomiast bazy i systemy wymiany informacji, w których może figurować błędny wpis. Warstwę komercyjną sprawdza się wnioskami o dostęp do danych z art. 15 RODO kierowanymi do dostawców danych ryzyka, a raporty własne pobiera się z BIK i systemów ZBP. Warstwa sektorowa jest dla podmiotu danych zamknięta na mocy art. 106e Prawa bankowego, więc jej zawartość ustala się pośrednio: przez wzorzec odmów oraz, w razie potrzeby, przez skargę do Prezesa UODO, którego uprawnienia kontrolne obejmują także systemy zamknięte.
Czy bank musi uzasadnić odmowę kredytu?
Bank nie musi uzasadniać samej odmowy, ale na wniosek złożony w terminie roku od otrzymania oceny musi, na podstawie art. 70a Prawa bankowego, przekazać niezwłocznie, najpóźniej w ciągu 30 dni, pisemne wyjaśnienie dokonanej oceny zdolności kredytowej. Według stanowiska KNF z 21 lipca 2020 r. wyjaśnienie musi być zindywidualizowane i konkretne, ze wskazaniem czynników, w tym danych osobowych, które zaważyły na ocenie, oraz środków pozwalających usunąć przeszkody; o samym uprawnieniu i rocznym terminie kredytodawca poucza z własnej inicjatywy, na trwałym nośniku. Przy kredycie konsumenckim obowiązek stosuje się odpowiednio także do kredytodawców niebankowych; poza nim pozostaje leasing w obrocie profesjonalnym.
Ile trwa usunięcie błędnego wpisu z baz AML?
Według doświadczeń praktyki spory z komercyjnymi dostawcami danych zamykają się zwykle w 20 do 90 dni, warstwa sektorowa wymaga szacunkowo od trzech do sześciu miesięcy, a postępowanie przed Prezesem UODO trwa wiele miesięcy. Są to wartości orientacyjne, zależne od jakości pakietu identyfikacyjnego i postawy administratorów.
Stan prawny na 21 sierpnia 2026 r. Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie.
Poprzednie publikacje na podobne tematy
Jak usunąć wpis z rejestru dłużników – Biuro Informacji Gospodarczej
The Man Who Lost Three Hundred Million Pounds Because His Bank Got Suspicious
Robert Nogacki – radca prawny (WA-9026), założyciel Kancelarii Prawnej Skarbiec.
Są prawnicy, którzy zajmują się prawem. I są tacy, którzy zajmują się problemami, na które prawo nie ma gotowej odpowiedzi. Od ponad dwudziestu lat Kancelaria Skarbiec pracuje na przecięciu prawa podatkowego, struktur korporacyjnych i ludzkiej niechęci do oddawania państwu więcej, niż się państwu należy. Doradzamy przedsiębiorcom z kilkunastu krajów – od tych z listy Forbesa po tych, którym fiskus właśnie zajął konto i którzy nie wiedzą, co robić jutro rano.
Jeden z najczęściej cytowanych ekspertów prawa podatkowego w polskich mediach – pisze dla Rzeczpospolitej, Dziennika Gazety Prawnej i Parkietu nie dlatego, że to dobrze wygląda w CV, lecz dlatego, że pewnych rzeczy nie da się wyjaśnić w piśmie procesowym i ktoś musi je powiedzieć głośno. Autor AI Decoding Satoshi Nakamoto. Sztuczna inteligencja na tropie twórcy Bitcoina. Współautor nagrodzonej książki Bezpieczeństwo współczesnej firmy.
Kancelaria Skarbiec zajmuje czołowe pozycje w rankingach kancelarii podatkowych Dziennika Gazety Prawnej. Czterokrotny laureat Medalu Europejskiego, laureat tytułu International Tax Planning Law Firm of the Year in Poland.
Specjalizuje się w sporach z organami skarbowymi, międzynarodowym planowaniu podatkowym, regulacjach kryptoaktywów i ochronie majątku. Od 2006 roku prowadzi sprawę WGI – jedną z najdłuższych spraw karnych w historii polskiego rynku finansowego, bo są rzeczy, których nie wolno zostawić w połowie, nawet jeśli trwają dwie dekady. Wierzy, że prawo jest zbyt poważne, żeby traktować je wyłącznie poważnie – i że najlepsza porada prawna to ta, dzięki której klient nigdy nie musi stanąć przed sądem.
