Prowadzenie jednoosobowej działalności gospodarczej nie oznacza słabszej ochrony danych osobowych. Przedsiębiorca nadal jest osobą fizyczną, a jego dane podlegają ochronie wynikającej z RODO i Prawa bankowego. Ma to szczególne znaczenie po spłacie kredytu. Jeśli zobowiązanie wygasło i nie ma innej podstawy prawnej do dalszego przetwarzania danych, bank i BIK nie mogą przechowywać ich tylko dlatego, że kredyt został zaciągnięty w związku z działalnością gospodarczą. Takie stanowisko zajął Naczelny Sąd Administracyjny w wyroku z 7 września 2026 r.
Sprawa dotyczyła przedsiębiorczyni, której dane po zakończeniu zobowiązania nadal znajdowały się w systemach banku i Biura Informacji Kredytowej. Bank i BIK przekonywały, że kredyt miał charakter firmowy, a więc sytuacja przedsiębiorcy powinna być oceniana inaczej niż zwykłego konsumenta.
NSA nie podzielił tej argumentacji.
Kluczowe okazało się znaczenie pojęcia „osoba fizyczna” użytego w art. 105a Prawa bankowego. Zdaniem sądu obejmuje ono również osobę prowadzącą jednoosobową działalność gospodarczą.
Przedsiębiorca poszedł do UODO w sprawie danych w BIK
Sprawę rozpoczęła skarga kobiety prowadzącej działalność gospodarczą. Zarzuciła ona bankowi, że bez jej zgody nadal przetwarza jej dane osobowe i przekazuje je do BIK.
Historia zobowiązania sięgała 2013 r. Klientka zawarła z bankiem umowę na 24 miesiące. Po jej zakończeniu bank nie przedłużył dotychczasowego limitu, ale zaproponował inne rozwiązanie – refinansowanie zadłużenia w postaci firmowego kredytu ratalnego.
Strony zawarły ugodę przewidującą spłatę w ciągu 30 miesięcy. Zobowiązanie było regulowane terminowo.
Problem pojawił się później. Po spłacie kredyt został zaraportowany do BIK jako „odzyskany”. Klientka twierdziła, że bank nie poinformował jej o takim sposobie dalszego przetwarzania informacji.
Spór ostatecznie trafił przed sądy administracyjne.
Bank przekazał do BIK nie tylko dane firmy
Sprawa była istotna również ze względu na zakres informacji znajdujących się w systemach banku i BIK.
Nie chodziło wyłącznie o nazwę działalności czy dane dotyczące samego kredytu.
Przetwarzane były m.in.:
- imię i nazwisko,
- nazwisko rodowe,
- imiona rodziców,
- nazwisko panieńskie matki,
- numer PESEL,
- data i miejsce urodzenia,
- obywatelstwo,
- dane dokumentu tożsamości,
- miejsce zamieszkania i adres korespondencyjny,
- adres e-mail,
- numer telefonu.
Były to zatem typowe dane osobowe konkretnego człowieka. To, że zostały zebrane przy okazji finansowania prowadzonej działalności gospodarczej, nie powodowało, że przestawały podlegać ochronie właściwej dla danych osoby fizycznej.
NSA: osoba prowadząca działalność nadal jest osobą fizyczną
To właśnie ta kwestia znalazła się w centrum sporu.
Naczelny Sąd Administracyjny uznał, że określenie „osoba fizyczna” użyte w art. 105a ust. 2 i 3 Prawa bankowego należy rozumieć zgodnie z jego zwykłym znaczeniem.
Osobą fizyczną jest więc również przedsiębiorca prowadzący jednoosobową działalność gospodarczą.
Nie powstaje tutaj odrębny podmiot. Jednoosobowa działalność gospodarcza nie ma własnej osobowości prawnej oddzielonej od przedsiębiorcy.
W konsekwencji nie można przyjąć, że tylko dlatego, iż kredyt miał związek z działalnością gospodarczą, bank lub BIK otrzymują szersze prawo do przetwarzania danych konkretnej osoby.
To ważne rozstrzygnięcie dla prowadzących JDG, którzy często zawierają umowy kredytowe, leasingowe czy inne umowy finansowe jako przedsiębiorcy.
Spłata kredytu nie zawsze oznacza automatyczne usunięcie danych z BIK
W tym miejscu trzeba jednak zrobić istotne zastrzeżenie.
Wyrok NSA nie oznacza, że wszystkie informacje o każdym kredycie muszą zostać automatycznie wykasowane z BIK natychmiast po jego spłacie.
Prawo bankowe przewiduje sytuacje, w których dane mogą być przetwarzane także po wygaśnięciu zobowiązania.
Zasadnicze znaczenie ma art. 105a Prawa bankowego.
W przypadku zobowiązań spłacanych prawidłowo możliwość dalszego wykorzystywania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego jest uzależniona od istnienia odpowiedniej podstawy prawnej.
Inaczej wygląda sytuacja przy poważnych opóźnieniach w spłacie.
Przepisy pozwalają na przetwarzanie danych bez zgody również po wygaśnięciu zobowiązania, jeżeli spełnione zostały ustawowe warunki. Dotyczy to m.in. określonej zwłoki w spłacie oraz wcześniejszego poinformowania klienta o zamiarze dalszego przetwarzania danych.
W takich przypadkach dane mogą być przetwarzane przez okres wskazany w ustawie, co do zasady niedłużej niż pięć lat od wygaśnięcia zobowiązania.
NSA już wcześniej potwierdzał, że skorzystanie przez bank z tej podstawy wymaga rzeczywistego spełnienia ustawowych warunków, w tym skutecznego poinformowania osoby, której dane dotyczą.
Kredyt firmowy nie daje bankowi dodatkowych praw
Najważniejszy wniosek z najnowszego rozstrzygnięcia dotyczy jednak czegoś innego.
Bank nie może argumentować:
„to był kredyt firmowy, więc dane przedsiębiorcy możemy traktować inaczej”.
Przedsiębiorca prowadzący JDG nadal pozostaje osobą fizyczną, której przysługują prawa wynikające z przepisów o ochronie danych osobowych.
Jeżeli więc kredyt został spłacony, a nie zachodzi szczególna podstawa pozwalająca na dalsze przetwarzanie danych bez zgody, status przedsiębiorcy sam w sobie nie uzasadnia pozostawienia danych w BIK.
Dane w BIK po spłacie kredytu. Co może zrobić przedsiębiorca?
Osoba prowadząca działalność gospodarczą może przede wszystkim zwrócić się do banku lub BIK z pytaniem, na jakiej podstawie prawnej jej dane są nadal przetwarzane.
Może również żądać informacji:
- jakie dane są przetwarzane,
- w jakim celu,
- na jakiej podstawie prawnej,
- przez jaki okres będą przechowywane,
- komu zostały udostępnione.
Jeżeli administrator nie ma już podstawy do dalszego przetwarzania danych, może powstać prawo do żądania ich usunięcia.
W przypadku sporu możliwe jest zwrócenie się do Prezesa Urzędu Ochrony Danych Osobowych.
Nie oznacza to jednak, że każdy wniosek o „wyczyszczenie BIK” musi zostać uwzględniony. Najpierw trzeba sprawdzić historię konkretnego zobowiązania oraz to, czy bank spełnił przesłanki pozwalające mu na dalsze przetwarzanie informacji.
BIK po kredycie firmowym. Przedsiębiorca nie jest pozbawiony ochrony RODO
Stanowisko NSA ma szersze znaczenie dla przedsiębiorców korzystających z produktów bankowych.
W praktyce granica między informacjami „firmowymi” a danymi osobowymi przy jednoosobowej działalności gospodarczej jest bardzo cienka. Nazwa firmy może zawierać imię i nazwisko przedsiębiorcy, a umowom towarzyszą PESEL, adres, numer telefonu czy informacje dotyczące sytuacji finansowej konkretnego człowieka.
Nie można więc przyjąć, że umieszczenie takich danych w dokumentacji dotyczącej działalności gospodarczej automatycznie pozbawia je ochrony wynikającej z RODO.
Co więcej, NSA już w innych sprawach dotyczących sektora bankowego wskazywał, że po ustaniu celu przetwarzania bank i BIK muszą dysponować konkretną podstawą prawną do dalszego przechowywania danych. Dotyczyło to m.in. danych osób, których zapytania kredytowe nie zakończyły się zawarciem umowy.
Kiedy bank może nadal przetwarzać dane po spłacie?
Nie należy zatem stawiać znaku równości między spłatą kredytu a obowiązkiem natychmiastowego usunięcia każdej informacji z systemów bankowych.
Bank lub BIK mogą nadal przetwarzać określone dane, jeżeli istnieje ku temu wyraźna podstawa prawna.
Przy zobowiązaniach, których spłata była opóźniona, znaczenie ma m.in. art. 105a ust. 3 Prawa bankowego. Przepis przewiduje możliwość dalszego przetwarzania informacji bez zgody dłużnika po spełnieniu określonych przesłanek.
UODO wskazuje, że regulacja ta dotyczy właśnie przetwarzania danych po wygaśnięciu zobowiązania i stanowi wyjątek od zasady, dlatego warunki jej zastosowania muszą być przestrzegane.
Nie wystarczy więc samo stwierdzenie banku, że dane są mu nadal potrzebne.
Przedsiębiorca może żądać usunięcia danych z BIK, ale trzeba sprawdzić podstawę
W praktyce najważniejsze pytanie brzmi nie: „czy kredyt został spłacony?”, ale:
„czy po jego spłacie istnieje jeszcze podstawa prawna do przetwarzania moich danych?”
Jeżeli odpowiedź brzmi „nie”, dalsze przetwarzanie może być niezgodne z prawem.
Jeżeli natomiast spełnione zostały szczególne przesłanki przewidziane w Prawie bankowym, żądanie natychmiastowego usunięcia danych może okazać się bezskuteczne.
Każdy przypadek trzeba więc oceniać indywidualnie.
Dane przedsiębiorcy w BIK – najważniejsze zasady
Wyrok NSA z 7 września 2026 r. potwierdza przede wszystkim, że prowadzenie jednoosobowej działalności gospodarczej nie pozbawia przedsiębiorcy statusu osoby fizycznej w rozumieniu przepisów dotyczących przetwarzania danych bankowych.
Dla przedsiębiorców oznacza to kilka praktycznych zasad:
- dane przedsiębiorcy prowadzącego JDG są nadal danymi osoby fizycznej,
- sam fakt, że kredyt został zaciągnięty na działalność gospodarczą, nie pozwala bankowi na nieograniczone przetwarzanie danych,
- po wygaśnięciu zobowiązania bank i BIK muszą mieć konkretną podstawę prawną do dalszego przetwarzania informacji,
- spłata kredytu nie zawsze oznacza automatyczne usunięcie danych,
- przy istotnych zaległościach Prawo bankowe przewiduje możliwość dalszego przetwarzania bez zgody przez określony czas,
- przedsiębiorca może zwrócić się do banku lub BIK o wskazanie podstawy dalszego przetwarzania, a w razie naruszenia swoich praw – złożyć skargę do Prezesa UODO.
Wyrok jest zatem istotny nie dlatego, że otwiera drogę do automatycznego „czyszczenia BIK” każdemu przedsiębiorcy po spłacie kredytu.
Jego znaczenie jest inne: bank i BIK nie mogą odmawiać osobie prowadzącej jednoosobową działalność gospodarczej ochrony tylko dlatego, że zobowiązanie było związane z firmą. Przedsiębiorca nadal jest osobą fizyczną i korzysta z ochrony swoich danych osobowych.