RODO u pośrednika kredytowego: PESEL, zgody, okres przechowywania i rejestr czynności

Kto jest kim: pośrednik, bank i dostawca systemu

Firma, która sama decyduje, po co i jak przetwarza dane klientów, jest administratorem danych. Tak jest zwykle w przypadku biura pośrednictwa: to ono zbiera dane, prowadzi kontakt z klientem i przygotowuje wnioski. Na administratorze ciąży odpowiedzialność za przestrzeganie zasad z art. 5 RODO i za wykazanie ich przestrzegania (zasada rozliczalności, art. 5 ust. 2).

Bank lub pożyczkodawca, któremu przekazujesz wniosek klienta, co do zasady przetwarza otrzymane dane we własnych celach, np. do oceny zdolności kredytowej. Dokładny podział ról warto jednak sprawdzić w umowie z kredytodawcą — zależy on od tego, jak opisano w niej współpracę.

Dostawca CRM, księgowość czy firma IT, które przetwarzają dane klientów na Twoje zlecenie, są zazwyczaj podmiotami przetwarzającymi. Z takim podmiotem zawiera się umowę powierzenia przetwarzania danych, której minimalną treść określa art. 28 ust. 3 RODO. Warto zapytać o nią każdego dostawcę jeszcze przed przeniesieniem do niego danych.

Działalność pośrednika jest dodatkowo nadzorowana. Komisja Nadzoru Finansowego prowadzi rejestr pośredników kredytowych z dwoma działami: dla pośredników kredytu hipotecznego i ich agentów oraz dla pośredników kredytowych w rozumieniu art. 5 pkt 3 ustawy o kredycie konsumenckim (art. 62 ustawy o kredycie hipotecznym). Wpis do rejestru nie zastępuje jednak obowiązków z RODO.

Podstawy prawne przetwarzania i zgody

Każda czynność na danych osobowych musi mieć jedną z podstaw z art. 6 ust. 1 RODO. Zgoda jest tylko jedną z nich i w pracy pośrednika często nie jest najwłaściwsza. Poniższa tabela pokazuje typowe przyporządkowanie — ostateczną podstawę dla każdej czynności powinna jednak ustalić Twoja firma.

Kiedy zgoda jest właściwa, a kiedy nie

Zgoda musi być dobrowolna, a klient może ją wycofać w dowolnym momencie i równie łatwo, jak ją wyraził (art. 7 ust. 3 RODO). Jeżeli bez danych nie da się przygotować wniosku, o który prosi klient, oparcie tego przetwarzania na zgodzie jest ryzykowne: po wycofaniu zgody trzeba by przerwać obsługę, choć klient nadal chce kredytu. Dla takich czynności właściwsza jest podstawa z art. 6 ust. 1 lit. b.

Zgoda jest natomiast typowa przy marketingu. Kontakt telefoniczny lub e-mailowy w celu marketingu bezpośredniego wymaga uprzedniej zgody abonenta lub użytkownika końcowego (art. 398 ustawy Prawo komunikacji elektronicznej). Jeżeli przetwarzasz dane na podstawie zgody, musisz umieć wykazać, że została udzielona (art. 7 ust. 1 RODO) — stąd potrzeba zapisu: kiedy, w jakim kanale i jakiej treści zgody udzielono. Wobec marketingu bezpośredniego klient może też w każdej chwili wnieść sprzeciw (art. 21 ust. 2 RODO).

Obowiązek informacyjny

Niezależnie od podstawy prawnej, przy zbieraniu danych od klienta trzeba przekazać mu informacje z art. 13 RODO: kto jest administratorem, w jakich celach i na jakiej podstawie przetwarza dane, komu je przekazuje (np. kredytodawcom), jak długo je przechowuje lub jak ten okres ustala oraz jakie prawa przysługują klientowi. Najlepiej robić to przy pierwszym kontakcie — w formularzu na stronie, w wiadomości po rozmowie albo na spotkaniu.

PESEL i dokumenty klienta

PESEL nie należy do szczególnych kategorii danych z art. 9 RODO (takich jak dane o zdrowiu). Jest jednak krajowym numerem identyfikacyjnym, dla którego art. 87 RODO przewiduje możliwość określenia przez państwa członkowskie szczególnych warunków przetwarzania. W połączeniu z imieniem, nazwiskiem i danymi z dowodu ułatwia podszycie się pod klienta, dlatego wymaga szczególnej ostrożności.

• Zbieraj tylko te dane i dokumenty, których kredytodawca rzeczywiście wymaga (zasada minimalizacji, art. 5 ust. 1 lit. c RODO).
• Ogranicz dostęp do PESEL i numeru dowodu do osób, które obsługują daną sprawę.
• Nie przesyłaj skanów dokumentów i list klientów niezabezpieczoną pocztą ani komunikatorami prywatnymi.
• Nie trzymaj kopii dokumentów w kilku miejscach naraz — na dysku doradcy, w poczcie i w telefonie.
• Unikaj zbierania danych o zdrowiu i innych danych z art. 9 RODO, jeżeli nie są niezbędne w danej sprawie.

Zabezpieczenia powinny odpowiadać ryzyku dla osób, których dane dotyczą (art. 32 RODO). W praktyce oznacza to m.in. dwuetapowe logowanie, uprawnienia zależne od roli, kopie zapasowe i możliwość sprawdzenia, kto i kiedy zmieniał dane. Jeżeli mimo to dojdzie do naruszenia ochrony danych, administrator zgłasza je Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia — chyba że jest mało prawdopodobne, by powodowało ryzyko naruszenia praw lub wolności osób (art. 33 ust. 1 RODO).

Jak długo przechowywać dane i dokumenty

RODO nie wskazuje jednego okresu przechowywania. Wymaga, by dane były przechowywane nie dłużej, niż jest to niezbędne do celów przetwarzania (zasada ograniczenia przechowywania, art. 5 ust. 1 lit. e). Okres trzeba więc ustalić osobno dla każdej kategorii danych, na podstawie celu i przepisów, które nakazują lub uzasadniają dalsze przechowywanie.

A co z ustawą AML i jej pięcioma latami?

Często powtarza się, że pośrednik musi przechowywać dokumenty klienta przez 5 lat ze względu na przepisy o przeciwdziałaniu praniu pieniędzy. Art. 49 ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu dotyczy jednak instytucji obowiązanych, a katalog z art. 2 ust. 1 tej ustawy nie wymienia pośredników kredytowych jako takich. Obejmuje natomiast m.in. banki oraz instytucje pożyczkowe w rozumieniu ustawy o kredycie konsumenckim (art. 2 ust. 1 pkt 25).

Jeżeli Twoja firma prowadzi też działalność z tego katalogu albo umowa z kredytodawcą nakłada na nią obowiązki związane z AML, okresy przechowywania mogą być inne. To dobry punkt do omówienia z prawnikiem — zbyt długie przechowywanie danych „na wszelki wypadek” również narusza RODO.

Upływ okresu przechowywania oznacza obowiązek usunięcia lub anonimizacji danych. Prawo klienta do usunięcia danych (art. 17 RODO) ma przy tym wyjątki: nie usuwa się danych, które administrator musi przechowywać z mocy prawa (art. 17 ust. 3 lit. b) albo które są potrzebne do ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e).

Rejestr czynności przetwarzania: prosty szablon

Rejestr czynności przetwarzania to dokument, w którym administrator opisuje, jakie dane przetwarza, w jakim celu, komu je przekazuje i jak długo przechowuje. Prowadzi się go w formie pisemnej, w tym elektronicznej (art. 30 ust. 3 RODO), i udostępnia Prezesowi UODO na jego żądanie (art. 30 ust. 4).

Art. 30 ust. 5 RODO zwalnia z tego obowiązku firmy zatrudniające mniej niż 250 osób, ale tylko wtedy, gdy przetwarzanie nie może powodować ryzyka naruszenia praw lub wolności osób, ma charakter sporadyczny i nie obejmuje szczególnych kategorii danych ani danych o wyrokach. Obsługa klientów to codzienna praca pośrednika, więc w praktyce zwolnienie zwykle nie znajdzie zastosowania. Na poziomie UE trwają prace nad złagodzeniem tego przepisu — do czasu ich zakończenia obowiązuje obecne brzmienie.

Rejestr przygotowuje się osobno dla każdej czynności przetwarzania. W typowym biurze pośrednictwa mogą to być na przykład:

• ✓Obsługa zapytań i leadów (formularze, kampanie, polecenia).
• ✓Obsługa wniosków kredytowych i spraw klientów.
• ✓Marketing bezpośredni do osób, które wyraziły zgodę.
• ✓Rozliczenia prowizji i dokumentacja księgowa.
• ✓Obsługa żądań klientów dotyczących ich danych (dostęp, usunięcie, sprzeciw).
• ✓Dane pracowników, współpracowników i agentów.

Jak CRM pomaga uporządkować RODO w biurze

Dokumentację, podstawy prawne i okresy przechowywania ustala administrator — tego nie zrobi za niego żaden system. CRM może jednak sprawić, że ustalenia nie zostaną tylko na papierze. Gdy dane klientów są w jednym systemie zamiast w arkuszach, skrzynkach mailowych i na dyskach doradców, łatwiej wiedzieć, gdzie są, kto ma do nich dostęp i kiedy należy je usunąć.

Te funkcje ułatwiają realizację obowiązków, ale nie przenoszą odpowiedzialności z administratora na system. Rejestr czynności, obowiązek informacyjny, umowy powierzenia i okresy przechowywania dla pozostałych kategorii danych nadal trzeba przygotować i utrzymywać po stronie firmy.