Jak wycofać zgodę na przetwarzanie danych osobowych przez bank? Praktyczny poradnik

Co oznacza wycofanie zgody w banku?

RODO daje ci możliwość cofnięcia zgody w dowolnym momencie. Gdy instytucja finansowa występuje jako administrator danych, powinna zaprzestać przetwarzania informacji osobowych, jeżeli zgoda została wycofana i nie istnieje inna prawna podstawa. Cofnięcie może dotyczyć:

• pojedynczego celu — np. marketingu,
• lub całkowitego wycofania zgody.

Ważne: przetwarzanie, które miało miejsce przed cofnięciem, pozostaje zgodne z prawem. Administrator musi usunąć dane lub ograniczyć ich przetwarzanie, jeśli nie ma innej podstawy prawnej do dalszego korzystania z nich. Wycofanie zgody może mieć konkretne konsekwencje praktyczne — przestaniesz otrzymywać informacje o promocjach, a niektóre funkcje serwisu mogą przestać działać, jeśli wcześniej bazowały na tych danych. W pewnych sytuacjach może to także wpłynąć na twoją ocenę wiarygodności finansowej lub zdolność kredytową, zwłaszcza gdy bank wykorzystywał dane do oceny ryzyka.

Procedura cofnięcia powinna być równie łatwa jak jej udzielenie, dlatego warto sprawdzić dostępne kanały i instrukcje. Pamiętaj jednak, że wycofanie zgody nie blokuje przetwarzania, gdy instytucja ma inną legalną podstawę — na przykład realizację umowy albo wypełnianie obowiązków prawnych.

Jak złożyć wniosek o wycofanie zgody?

Kontakt z bankiem można nawiązać na kilka sposobów:

• odwiedzając oddział,
• wysyłając list,
• e‑mailem,
• korzystając z serwisu transakcyjnego,
• formularza na stronie,
• dzwoniąc na infolinię (mLinia).

Wiele instytucji udostępnia gotowy formularz do wycofania zgody lub pozwala zmienić ustawienia prywatności bezpośrednio w panelu klienta. Jak złożyć wniosek o wycofanie zgody:

1. Najpierw sprawdź regulamin i politykę prywatności — znajdziesz tam dokładne informacje, jak wygląda procedura w danym banku.
2. Przygotuj dane identyfikacyjne: imię i nazwisko, PESEL lub NIP, numer klienta lub umowy oraz kontakt (adres e‑mail i numer telefonu).
3. Wskaż, której zgody dotyczy wniosek (np. marketingowa, przekazywanie informacji do BIK) i podaj datę udzielenia zgody, jeśli ją pamiętasz.
4. Wybierz sposób złożenia wniosku — osobiście lub online. Przy wysyłce listownej zwykle wymagany jest podpis odręczny; przy e‑mailu bank może poprosić o podpis kwalifikowany lub dodatkową weryfikację tożsamości.
5. Napisz krótkie oświadczenie: określ wycofywaną zgodę, podaj datę jej wycofania oraz swoje dane identyfikacyjne, dołącz podpis jeśli jest potrzebny. Przykład: „Niniejszym wycofuję zgodę na przetwarzanie moich danych w celach marketingowych. Imię i nazwisko, PESEL, data, podpis.”

Weryfikacja i potwierdzenie:

• Bank może zażądać potwierdzenia tożsamości przed przyjęciem wniosku,
• Po rozpatrzeniu sprawy otrzymasz potwierdzenie — e‑mailem, listownie lub jako komunikat w serwisie,
• Szczegóły procedury i terminy realizacji znajdują się w regulaminie banku; pamiętaj też, że zmiany mogą być przekazywane do zewnętrznych rejestrów, np. BIK.

Praktyczne wskazówki: zachowaj kopię wniosku i potwierdzenie odbioru. Jeśli bank oferuje formularz wycofania zgody w ustawieniach prywatności, skorzystanie z tej opcji często przyspieszy cały proces.

Jakie dane podać we wniosku?

Wniosek musi zawierać dane osobowe niezbędne do identyfikacji klienta. Podstawowe informacje to:

• imię i nazwisko,
• PESEL lub NIP,
• numer klienta lub umowy,
• adres zamieszkania,
• e-mail oraz numer telefonu.

Jeśli wolisz, możesz dodatkowo podać adres korespondencyjny i numer telefonu komórkowego — ułatwi to kontakt. Ważne są też szczegóły dotyczące zgody: określ, której zgody dotyczy wniosek (np. zgoda marketingowa, przekazywanie do BIK lub profiling). Przydatne są:

• data udzielenia zgody,
• miejsce jej złożenia (np. umowa kredytowa lub formularz online),
• przewidywany okres przetwarzania, jeśli znasz.

Gdy wniosek odnosi się do konkretnego raportu, podaj numer raportu BIK lub numer sprawy. W przypadku zgód powiązanych z monitoringiem, profilingiem lub komunikacją cyfrową dołącz:

• identyfikator urządzenia,
• adres IP,
• identyfikatory cookie — o ile są dostępne.

Te dane pomagają powiązać wniosek z zapisami banku. Weryfikacja tożsamości i pełnomocnictwa wymaga załączenia formy potwierdzenia tożsamości:

• własnoręczny podpis,
• autoryzacja w serwisie transakcyjnym,
• skan dokumentu tożsamości — zgodnie z wymaganiami banku.

Jeśli wniosek składa pełnomocnik, dołącz upoważnienie od konsumenta oraz dane pełnomocnika i opis zakresu jego uprawnień. Dokumenty wspierające (kopie umów, fragmenty regulaminu, zrzuty ekranu zgody czy wydruk raportu BIK) mogą przyspieszyć procedurę i zmniejszyć ryzyko odrzucenia lub błędnej interpretacji wniosku. Przy wysyłce e-mailowej dołącz pliki w formacie PDF lub skany; wysyłając list, pamiętaj o podpisie.

Podstawą prawną cofnięcia zgody jest RODO — m.in. art. 7 (cofnięcie zgody) oraz art. 17 (prawo do usunięcia). Warto te odwołania wymienić w treści, jeśli oczekujesz usunięcia danych albo ograniczenia ich przetwarzania. Na koniec określ preferowany sposób otrzymania potwierdzenia (np. e-mail, list lub komunikat w serwisie), aby ułatwić sobie potwierdzenie odwołania zgody.

Ile czasu ma bank na odpowiedź?

Instytucja ma 30 dni na odpowiedź na wniosek o wycofanie zgody — zgodnie z art. 12 ust. 3 RODO termin ten liczony jest od dnia otrzymania żądania. W skomplikowanych sprawach odpowiedź może zostać przedłużona o dodatkowe maksymalnie 2 miesiące; wnioskodawca musi wtedy otrzymać informację o przedłużeniu oraz o powodach takiej decyzji.

Biuro Informacji Kredytowej rozpatruje wnioski dotyczące raportów i danych kredytowych w terminie 30 dni, ale rzeczywisty czas realizacji zależy od rodzaju żądanej czynności. Proste operacje — na przykład:

• usunięcie adresu z listy mailingowej — często zamykane są w ciągu kilku dni,
• aktualizacja zewnętrznych rejestrów czy archiwów — może potrwać do 30 dni lub dłużej, gdy wymagana jest współpraca z podmiotami trzecimi.

Wycofanie zgody następuje z chwilą złożenia wniosku, lecz techniczne skutki tej decyzji — takie jak skasowanie danych, ograniczenie przetwarzania czy wprowadzenie zmian w rejestrach — realizowane są według wewnętrznej procedury operacyjnej banku. Procedura powinna określać przewidywany czas realizacji; jeśli takiej informacji zabraknie, wnioskodawca ma prawo żądać wyjaśnień.

Obowiązek informacyjny obejmuje przekazanie decyzji oraz wskazanie działań podjętych w związku z wnioskiem i terminów ich wykonania. Potwierdzenie odwołania zgody zwykle zawiera datę przyjęcia wniosku, decyzję administratora oraz opis wykonanych czynności.

Czy otrzymam potwierdzenie odwołania zgody?

Potwierdzenie odwołania zgody to istotny dokument — dowód, że twój wniosek został przyjęty i rozpatrzony. Powinno w nim być jasno wskazane, jaką część zgody cofnąłeś oraz jakie to niesie skutki, na przykład zaprzestanie otrzymywania informacji o promocjach. W praktyce dokument zawiera:

• datę przyjęcia żądania,
• opis działań,
• termin wdrożenia zmian,
• podstawy prawne decyzji.

Niezależnie od tego, czy otrzymasz je elektronicznie czy w formie papierowej, takie potwierdzenie ułatwia korzystanie z dalszych uprawnień — dostępu do danych, ich korekty czy usunięcia. Jeśli chcesz dostać je w konkretnej formie, skorzystaj z formularza wycofania zgody i zaznacz preferowany kanał kontaktu, np. e‑mail, list lub komunikat w serwisie. Zadbaj o kopię otrzymanego potwierdzenia — zapisz PDF, zrób zrzut ekranu lub wydruk. To przyda się jako dowód w razie sporu. Gdy dokument nie nadejdzie w ustawowym terminie, możesz zwrócić się do Inspektora Ochrony Danych lub złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych. Dodatkowo potwierdzenie pomaga precyzyjnie zidentyfikować, które powiadomienia marketingowe mają być zablokowane i które procesy przetwarzania danych trzeba ograniczyć. Dzięki temu masz większą pewność, że twoje żądanie zostało zrealizowane tak, jak oczekiwałeś.

Czy bank musi usunąć moje dane po wycofaniu zgody?

Gdy przetwarzanie danych osobowych opierało się wyłącznie na zgodzie, bank musi usunąć te informacje niezwłocznie po jej cofnięciu — to wynika z art. 17 RODO. Jeśli jednak instytucja chce dalej je przechowywać, powinna wykazać inną podstawę prawną (art. 6 RODO); art. 7 RODO reguluje kwestię cofnięcia zgody. Od tej reguły są wyjątki: dalsze przechowywanie jest dopuszczalne, gdy ma to związek z:

• wykonaniem umowy,
• wykonywaniem obowiązków prawnych,
• ustalaniem, dochodzeniem albo obroną roszczeń.

Przykłady obowiązków wynikających z przepisów krajowych to m.in.: dokumentacja księgowa i podatkowa — zwykle przez 5 lat; obowiązki wynikające z ustawy o AML — przechowywanie przez 5 lat po zakończeniu relacji biznesowej. W takich sytuacjach bank może zamiast kasowania ograniczyć dostęp do danych lub zanonimizować je i w ten sposób je dalej przechowywać. Usunięcie danych może wyglądać różnie w praktyce, na przykład:

• trwałe skasowanie informacji z systemów operacyjnych;
• ograniczenie przetwarzania lub usunięcie elementów identyfikujących przy zachowaniu zanonimizowanych lub statystycznych zestawień;
• przekazanie instrukcji podmiotom trzecim (np. biurom informacji kredytowej) w przypadku danych, które wcześniej zostały im udostępnione.

Bank ma obowiązek dokumentować podstawy prawne przechowywania danych oraz informować klienta o podjętych działaniach. Jeśli odmówi usunięcia informacji, musi wskazać konkretną podstawę prawną i określić zakres danych, które zamierza zachować. Klient, który nie zgadza się z taką decyzją, może:

• zażądać pisemnego uzasadnienia i wnioskować o ograniczenie przetwarzania;
• skontaktować się z Inspektorem Ochrony Danych w banku;
• złożyć skargę do Prezesa Urzędu Ochrony Danych Osobowych (PUODO).

Istotne jest także zapewnienie bezpieczeństwa danych podczas ich usuwania lub archiwizacji oraz informowanie klienta o postępie realizacji żądania usunięcia. Należy pamiętać, że usunięcie danych nie wpływa na legalność przetwarzania, które miało miejsce przed cofnięciem zgody.

Jakie obowiązki ma administrator danych po wycofaniu zgody?

Po wycofaniu zgody administrator natychmiast przerywa przetwarzanie danych i rejestruje datę oraz sposób tego działania. Przed przyjęciem wniosku weryfikuje tożsamość klienta, aby zapobiec nieautoryzowanemu odwołaniu, a po zarejestrowaniu żądania wysyła potwierdzenie wraz z informacją o skutkach cofnięcia zgody. Równolegle ocenia, czy istnieje inna podstawa prawna pozwalająca na dalsze przetwarzanie — na przykład:

• realizacja umowy,
• obowiązek wynikający z przepisów.

W takim przypadku wskazuje konkretne kategorie danych, które nadal będą przetwarzane. Jeśli nie zachodzi żadna inna podstawa, dane muszą zostać trwale usunięte lub ich przetwarzanie ograniczone; tam, gdzie to możliwe, stosuje się anonimizację. Gdy informacje trafiły do podmiotów trzecich, administrator informuje je o konieczności zaprzestania przetwarzania lub usunięcia tych danych oraz przekazuje odpowiednie instrukcje procesorom na poziomie technicznym i organizacyjnym. Wszystkie podjęte kroki są dokumentowane zgodnie z zasadą rozliczalności (art. 30 RODO).

Usuwanie obejmuje systemy operacyjne i dostępne kopie robocze; kopie zapasowe mają ograniczony dostęp do momentu nadpisania. Aby zapewnić bezpieczeństwo, przy usuwaniu i ograniczeniu przetwarzania wdraża się środki takie jak:

• trwałe kasowanie,
• pseudonimizacja,
• logowanie operacji.

Po zakończeniu procedury klient otrzymuje informacje o podjętych działaniach, przewidywanych terminach realizacji oraz o sposobach korekty danych lub zgłoszenia sprzeciwu wobec dalszego przetwarzania. Administrator aktualizuje rejestr czynności przetwarzania, polityki retencji i system zgód, aby zachować spójność danych oraz dowodów zgodności. Jeśli dane trafiły do zewnętrznych rejestrów, na przykład BIK, inicjuje korektę lub usunięcie wpisów i dokumentuje całą komunikację z tymi podmiotami. Wszystkie działania związane z odwołaniem zgody są zapisywane w sposób umożliwiający przedstawienie dowodów wykonania na żądanie organu nadzorczego lub osoby, której dane dotyczą.

Jak wycofanie zgody wpłynie na usługi i marketing?

Cofnięcie zgody na przetwarzanie danych w celach marketingowych powoduje natychmiastowe zaprzestanie wysyłki informacji handlowych, promocji i spersonalizowanych ofert. Bank nie może dalej wykorzystywać danych do tych celów bez innej podstawy prawnej. Obejmuje to wszystkie kanały komunikacji:

• e-maile,
• SMS-y,
• połączenia telefoniczne,
• powiadomienia push,
• reklamy dopasowane do użytkownika.

Przestaje funkcjonować profilowanie marketingowe, więc systemy generujące oferty na podstawie zachowań i preferencji klienta przestaną działać. W praktyce może to ograniczyć dostęp do niektórych usług, na przykład rekomendacji produktowych czy automatycznych propozycji kredytowych. Wycofanie zgody może też wpłynąć na dane w raportach kredytowych. Usunięcie informacji wykorzystywanych w działaniach marketingowych zmienia zakres zapisów w rejestrach i czasem zmniejsza widoczność pozytywnych zdarzeń.

Jeśli bank udostępniał dane partnerom lub innym podmiotom, ma obowiązek przekazać im instrukcje dotyczące zaprzestania przetwarzania i usunięcia tych informacji — dotyczy to m.in. biur informacji kredytowej oraz firm marketingowych. Skuteczność cofnięcia zgody da się sprawdzić po otrzymaniu potwierdzenia od banku i braku dalszych wiadomości. Trzeba jednak pamiętać, że wdrożenie zmian technicznych i synchronizacja z podmiotami zewnętrznymi może potrwać do 30 dni.

Pozostają nienaruszone prawa do dostępu do danych osobowych oraz do ich korekty. Klient może oddzielnie żądać wglądu do zapisów transakcji, historii kontaktów czy zgód. Prawo do przenoszenia danych i możliwość żądania korekty pomagają zachować istotne informacje kredytowe, gdy cofnięcie zgody ogranicza automatyczne przetwarzanie.

Aby ograniczyć potencjalne negatywne skutki, warto najpierw sporządzić listę usług i podmiotów, które wykorzystywały zgodę marketingową, i rozważyć częściowe zamiast całkowitego wycofania zgody. Bank powinien informować klienta o konsekwencjach takiej decyzji oraz o dostępnych alternatywach, zarówno przed, jak i po rozpatrzeniu wniosku. Zachowywanie dokumentacji tej komunikacji ułatwia skuteczne cofnięcie zgody i dochodzenie praw w razie niezgodności.