Aktualność, merytoryczna poprawność i adekwatność danych osobowych zbieranych i przetwarzanych przez banki

Oprócz zapewnienia przez banki legalności przetwarzania danych osobowych (tj. m.in. ich pozyskiwania, udostępniania i przechowywania), o czym więcej w artykule pt. Podstawa prawna przetwarzania danych osobowych przez bank, na bankach jako administratorach danych spoczywa obowiązek zapewnienia merytorycznej poprawności przetwarzanych danych i ich stałej aktualizacji[1]. W tym celu konieczne jest opracowanie przez bank trybu weryfikowania prawdziwości danych, a w przypadku ich uaktualnienia czy sprostowania niezwłoczne poinformowanie o tym innych administratorów, którym dane zostały przekazane[2]. Żadne względy natury technicznej (np. konstrukcja programów informatycznych, za pomocą których przetwarzane są dane osobowe) nie mogą decydować o przetwarzaniu danych nieprawdziwych, niekompletnych czy nieaktualnych, o czym przesądził Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 2 kwietnia 2007 r., sygn. akt II SA/Wa 2328/06[3].

Dane zbierane przez banki powinny być adekwatne do celów, w jakich są pozyskiwane. Adekwatność zakresu danych osobowych do celu ich przetwarzania oceniać trzeba każdorazowo z uwzględnieniem konkretnego stosunku prawnego, w związku z którym administrator danych (w tym przypadku bank) przetwarza dane osobowe[4]. W odniesieniu do stosunków umownych uwzględnić należy charakter i znaczenie umowy[5] oraz ocenić treść obowiązujących w tym zakresie przepisów prawa, np. art. 112b ustawy z 29 sierpnia 1997 r. Prawo bankowe[6], zgodnie z którym banki mogą przetwarzać w celach prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych. Należy zwrócić uwagę, że posłużenie się określoną techniką zbierania danych (np. kopiowanie dokumentów) nie przesądza o naruszeniu zasady adekwatności, jednakże dane osobowe nie mogą być zbierane na zapas, „na wszelki wypadek”, tj. bez wykazania celowości ich pozyskania i niezbędności dla realizacji zadań administratora danych. Ponadto należy zauważyć, że narusza zasadę adekwatności zbieranie przez bank danych osobowych klientów w zakresie poprzednich adresów zameldowania, kategorii i daty nadania uprawnienia do kierowania pojazdem silnikowym oraz danych zawartych w świadectwie pracy dotyczących przebiegu zatrudnienia[7].