RODO daje klientowi banku prawo do informacji o jego danych, ich poprawienia, usunięcia i sprzeciwu. W bankach część tych praw ograniczają przepisy bankowe. Wyjaśniamy, jak złożyć wniosek, ile bank ma czasu i kiedy złożyć skargę do UODO.
Jakie prawa daje RODO klientowi banku
Według UODO RODO daje prawo do:
- dostępu do swoich danych,
- sprostowania danych,
- usunięcia danych,
- ograniczenia przetwarzania,
- przenoszenia danych,
- sprzeciwu,
- niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu.
UODO zastrzega, że prawa te nie przysługują w każdej sytuacji. Mogą je ograniczać przepisy polskie, w bankach m.in. Prawo bankowe i ustawa AML.
Bank jako administrator musi poinformować, kto, na jakiej podstawie i po co przetwarza dane. Podaje też, jak długo je przechowa, i kontakt do inspektora ochrony danych (IOD).
Zgodę, np. marketingową, można wycofać w dowolnym momencie. Według UODO wycofanie powinno być równie łatwe jak jej udzielenie.
Prawo do usunięcia danych nie jest bezwzględne. Nie działa, gdy bank musi przetwarzać dane, by wykonać obowiązek prawny.
Jak złożyć wniosek RODO w banku
UODO radzi, by żądanie kierować najpierw do administratora lub jego IOD. Tak wygląda to w trzech bankach (stan na 26.10.2026):
| Bank | Gdzie złożyć wniosek | Kontakt do IOD |
|---|---|---|
| PKO BP | w placówce, listownie lub elektronicznie; sprzeciw także w bankowości elektronicznej i na infolinii | iod@pkobp.pl |
| mBank | na mLinii, w placówce, w niektórych sprawach w aplikacji lub serwisie transakcyjnym | inspektordanychosobowych@mbank.pl |
| ING | elektronicznie w bankowości internetowej lub pisemnie; telefonicznie tylko z weryfikacją tożsamości | abi@ing.pl |
W ramach prawa dostępu mBank informuje, jakie dane przetwarza, dlaczego, komu może je udostępnić i jak długo. W ING pierwsza kopia danych jest bezpłatna.
Przy przeniesieniu danych PKO BP przekazuje plik na płycie CD zabezpieczonej hasłem. mBank wysyła zabezpieczony plik.
Formularze banków ułatwiają wniosek, ale nie są warunkiem. ING i PKO BP przyjmują wnioski pisemne i elektroniczne.
Kopii dowodu osobistego nie trzeba wysyłać. UODO zaleca, by banki kopiowały dokumenty tylko wyjątkowo i podawały podstawę prawną.
Termin odpowiedzi banku
Bank odpowiada najpóźniej w miesiąc od otrzymania wniosku. W sprawach skomplikowanych może przedłużyć termin o kolejne dwa miesiące.
O przedłużeniu i jego przyczynie bank informuje w ciągu pierwszego miesiąca. W tym samym terminie podaje powód odmowy, jeśli nie spełni żądania.
Sprzeciw wobec marketingu i profilowania
Sprzeciw wobec marketingu nie wymaga uzasadnienia. Po jego złożeniu danych nie wolno już używać do tego celu.
mBank po sprzeciwie wobec marketingu opartego na profilowaniu przestaje przygotowywać oferty dopasowane do klienta. PKO BP zmienia dobór ofert na losowy.
Sprzeciw wobec funkcji opartych na profilowaniu w mBanku wyłącza m.in. nowoczesną historię transakcji i asystenta płatności.
Sprzeciw wobec oceny zdolności kredytowej wymaga wskazania szczególnej sytuacji klienta. Bank może go nie uwzględnić, gdy jego cel jest nadrzędny.
PKO BP ostrzega, że taki sprzeciw może wydłużyć proces kredytowy. Może też uniemożliwić ocenę wniosku i skończyć się odmową kredytu.
Decyzja automatyczna i wyjaśnienie oceny zdolności
Bank może ocenić zdolność kredytową wyłącznie automatycznie, także z profilowaniem (art. 105a ust. 1a Prawa bankowego).
Musi jednak zapewnić prawo do wyjaśnień, do interwencji człowieka i do przedstawienia własnego stanowiska.
Taka ocena może opierać się tylko na danych niezbędnych dla celu i rodzaju kredytu. Nie może korzystać z danych szczególnych kategorii, np. o zdrowiu.
Niezależnie od tego można poprosić o pisemne wyjaśnienie oceny zdolności kredytowej (art. 70a). Wniosek składa się w ciągu roku, a bank odpowiada w 30 dni.
Wyjaśnienie obejmuje czynniki, które wpłynęły na ocenę, w tym dane osobowe wnioskującego.
W ING decyzję automatyczną kwestionuje się tak jak reklamację, a rozpatruje ją pracownik. Opisujemy, jak złożyć reklamację w banku.
Granice praw: AML, BIK i tajemnica bankowa
Prawa dostępu z art. 15 RODO bank nie stosuje w zakresie niezbędnym do przeciwdziałania praniu pieniędzy i przestępstwom (art. 106e Prawa bankowego).
Przy czynnej umowie danych nie da się usunąć, bo są potrzebne do jej wykonania. Tak wprost pisze PKO BP.
Po spłacie kredytu bank przetwarza dane w BIK za pisemną zgodą klienta, którą można w każdej chwili odwołać (art. 105a ust. 2).
Bez zgody może to robić przez 5 lat, jeśli zwłoka przekroczyła 60 dni, a od uprzedzenia klienta minęło 30 dni. Raport warto sprawdzić według poradnika o raporcie BIK.
Do wewnętrznych modeli ryzyka bank może używać danych przez 12 lat od wygaśnięcia zobowiązania.
Tajemnica bankowa nie obowiązuje wobec osoby, której dotyczą informacje. Innym osobom bank ujawnia je za pisemnym upoważnieniem klienta.
Więcej o tym, komu bank może przekazać dane, piszemy w tekście o tajemnicy bankowej.
Jak długo bank przechowuje dane
| Rodzaj danych | Okres | Podstawa |
|---|---|---|
| dokumenty z weryfikacji klienta i dowody transakcji | 5 lat od zakończenia relacji (GIIF może przedłużyć o 5 lat) | ustawa AML, art. 49 |
| dowody księgowe dotyczące kredytów | 5 lat od początku roku po ich spłacie lub rozliczeniu | ustawa o rachunkowości, art. 74 |
| dane do obrony przed roszczeniami | do przedawnienia: zwykle 6 lat, przy działalności gospodarczej 3 lata | Kodeks cywilny, art. 118 |
| dane w BIK bez zgody (zwłoka ponad 60 dni) | do 5 lat od wygaśnięcia zobowiązania | Prawo bankowe, art. 105a |
| dane do modeli ryzyka | 12 lat od wygaśnięcia zobowiązania | Prawo bankowe, art. 105a |
ING podaje konkretne okresy. Podstawowy to 6 lat od wykonania umowy, a wniosek kredytowy bez umowy bank trzyma rok.
Zapytanie do BIK ING przechowuje pół roku, a raport BIK 3 lata. Formalności przy zamykaniu rachunku opisujemy w tekście o zamknięciu konta bankowego.
Skarga do Prezesa UODO
Skargę składa się, gdy bank narusza RODO. Prezes UODO może nakazać spełnienie żądania tylko wtedy, gdy najpierw zgłoszono je bankowi.
Skarga musi zawierać imię, nazwisko i adres, nazwę banku, opis naruszenia, żądanie wobec Prezesa UODO i podpis.
Warto dołączyć dowody, np. korespondencję z bankiem. Skarga bez danych skarżącego zostaje bez rozpoznania.
Skargę wysyła się pocztą, składa w siedzibie urzędu albo przez e-Doręczenia na adres AE:PL-67085-31860-RWFHC-35. Zwykły e-mail nie służy do składania skarg.
Skarga nie pozwala żądać kary dla banku – o karze decyduje wyłącznie Prezes UODO. Odszkodowania dochodzi się tylko w sądzie.
Pełnomocnictwo do sprawy kosztuje 17 zł opłaty skarbowej. Pełnomocnictwo dla małżonka, rodzica, dziecka lub rodzeństwa jest zwolnione.
Co wpisać we wniosku do banku
| Wniosek | Co wpisać | Kiedy bank może odmówić |
|---|---|---|
| dostęp do danych i kopia | dane identyfikujące i prośbę o informację oraz kopię danych | w zakresie przeciwdziałania praniu pieniędzy i przestępstwom |
| sprostowanie | które dane są błędne i jakie są prawidłowe | gdy dane są prawidłowe |
| usunięcie | jakie dane i dlaczego są zbędne | przy czynnej umowie lub obowiązku prawnym |
| sprzeciw wobec marketingu | cel, którego dotyczy sprzeciw | nie może odmówić |
| przeniesienie danych | zakres danych i forma przekazania | gdy dane nie podlegają przeniesieniu |
| wyjaśnienie oceny zdolności | którego wniosku kredytowego dotyczy | po upływie roku od oceny |
Najczęstsze pytania o RODO w banku
Miesiąc od otrzymania wniosku. W sprawach skomplikowanych bank może przedłużyć termin o dwa miesiące, ale w ciągu pierwszego miesiąca musi o tym poinformować i podać przyczynę.
Tylko częściowo. Dane z weryfikacji klienta i dowody transakcji bank przechowuje 5 lat od zakończenia relacji (ustawa AML). Dane potrzebne do roszczeń trzyma do ich przedawnienia.
Tak. Bank musi wyjaśnić podstawy decyzji, zapewnić interwencję człowieka i przyjąć stanowisko klienta (art. 105a Prawa bankowego). Pisemne wyjaśnienie oceny zdolności można dostać w 30 dni (art. 70a).
Najpierw trzeba złożyć żądanie w banku lub u jego inspektora ochrony danych. Skargę wysyła się pocztą, składa w urzędzie albo przez e-Doręczenia. Zwykły e-mail nie wystarczy.
Źródła:
- UODO – Masz prawo wiedzieć, co będzie się działo z Twoimi danymi
- UODO – Masz prawo w każdej chwili wycofać zgodę
- UODO – Nie zawsze masz prawo do bycia zapomnianym
- UODO – Jeśli wniesiesz sprzeciw, marketing nie może być prowadzony
- UODO – Realizacji swoich praw żądaj najpierw od administratora
- UODO – Masz prawo złożyć skargę do Prezesa UODO
- UODO – Składanie skargi w formie tradycyjnej, w tym do protokołu
- UODO – Składanie skarg za pomocą e-Doręczeń
- UODO – Broszura dla seniorów w sektorze finansowym
- Prawo bankowe (t.j. Dz.U. 2026 poz. 38), art. 70a, 104, 105a, 106e
- Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. 2025 poz. 644), art. 49
- Ustawa o rachunkowości (t.j. Dz.U. 2026 poz. 522), art. 74
- Kodeks cywilny (t.j. Dz.U. 2026 poz. 795), art. 118
- Ustawa o opłacie skarbowej (t.j. Dz.U. 2026 poz. 1395), art. 1, załącznik cz. IV
- PKO Bank Polski – RODO
- mBank – RODO: zasady przetwarzania danych osobowych
- ING Bank Śląski – Ochrona danych osobowych i informacja o przetwarzaniu danych (od 26.05.2026)
Bardzo przydatne wskazówki, zwłaszcza dotyczące składania wniosków. Zawsze warto mieć po ręką wzory dokumentów, żeby nie zgubić się w gąszczu przepisów RODO. Dobrze wiedzieć, że mamy kontrolę nad swoimi danymi w banku!
Warto regularnie monitorować ustawienia prywatności na koncie bankowym, bo wiele osób nie zdaje sobie sprawy, jak wiele mają do powiedzenia w kwestii swoich danych! Dobrze wiedzieć, że możemy aktywnie zarządzać swoimi zgodami marketingowymi.
Ciekawe, jak wiele osób wciąż nie zdaje sobie sprawy z tego, że mogą aktywnie kontrolować przetwarzanie swoich danych osobowych w banku. Dobrze, że artykuł podkreśla znaczenie jasnego formułowania wniosków – to naprawdę kluczowe, żeby uniknąć problemów!