Înscrierea în baza de date a Biroului de Credit reprezintă, pentru mulți debitori, un obstacol semnificativ în accesarea unor noi produse financiare. Fie că este vorba de o întârziere la plată de acum câțiva ani sau de un incident bancar mai recent, prezența în sistem poate limita accesul la credite, carduri sau alte facilități oferite de instituțiile financiare. Întrebarea pe care și-o pun mulți români este: în ce condiții poți cere ștergerea din Biroul de Credit și cum funcționează, concret, această procedură? Răspunsul implică o înțelegere corectă a cadrului legal — GDPR, legislația națională și reglementările Băncii Naționale a României — dar și a practicii judiciare consolidate în ultimii ani.

Ce este Biroul de Credit și de ce contează

Biroul de Credit S.A. este o infrastructură partajată la care participă băncile și instituțiile financiare nebancare (IFN-uri) din România. Scopul său este evaluarea bonității persoanelor care solicită finanțare, determinarea gradului de îndatorare și administrarea riscului de credit. Participanții — adică instituțiile care raportează și accesează date — transmit informații despre comportamentul de plată al clienților lor: dacă ratele sunt achitate la termen, dacă există întârzieri sau credite neperformante.

Jurisprudența română și hotărârile Curții de Justiție a Uniunii Europene au confirmat că prelucrarea datelor în astfel de sisteme servește unui scop legitim: protejarea consumatorilor împotriva supraîndatorării și asigurarea stabilității sistemului financiar. Aceasta înseamnă că simpla dorință de a nu mai figura în baza de date nu este suficientă pentru a obține radierea.

Temeiul juridic al prelucrării datelor după GDPR

Înainte de intrarea în vigoare a Regulamentului General privind Protecția Datelor (GDPR), la 25 mai 2018, prelucrarea datelor în Biroul de Credit se întemeia, în principal, pe consimțământul debitorului, exprimat odată cu semnarea contractului de credit. Odată cu aplicarea GDPR, această abordare s-a schimbat fundamental.

Instanțele române au stabilit, în mod consistent, că temeiul prelucrării este acum interesul legitim al participanților și, după caz, obligația legală impusă de reglementările Băncii Naționale a României — în special Regulamentul BNR nr. 17/2012, care obligă instituțiile de credit să evalueze bonitatea solicitanților și să monitorizeze gradul de îndatorare atât în faza precontractuală, cât și pe durata contractului de credit.

Consecința practică este că retragerea consimțământului de către persoana vizată nu atrage, în mod automat, obligația de ștergere a datelor. Dacă există un alt temei valid — interes legitim sau obligație legală — prelucrarea poate continua pe toată perioada necesară atingerii scopului respectiv.

Dreptul la ștergere din GDPR: când se aplică și când nu

Articolul 17 din GDPR reglementează „dreptul de a fi uitat”, conferind persoanelor vizate posibilitatea de a solicita ștergerea datelor care le privesc. Dreptul se poate exercita în situații clar definite:

• Datele nu mai sunt necesare scopului pentru care au fost colectate.
• Persoana și-a retras consimțământul, iar prelucrarea nu se întemeiază pe un alt temei legal.
• Persoana s-a opus prelucrării și nu există motive legitime prevalente.
• Datele au fost prelucrate ilegal sau există o obligație legală de ștergere.

Însă dreptul la ștergere nu este absolut. Articolul 17 alin. (3) din GDPR prevede excepții exprese: dreptul nu se aplică atunci când prelucrarea este necesară pentru respectarea unei obligații legale, pentru îndeplinirea unei sarcini de interes public sau pentru constatarea, exercitarea ori apărarea unui drept în instanță. În contextul Biroului de Credit, instanțele au aplicat constant aceste excepții, reținând că obligațiile BNR privind evaluarea bonității și administrarea riscului de credit reprezintă temeiuri legale suficiente pentru a menține datele pe perioada necesară.

Termenul de 4 ani: regula standard pentru datele negative

Principiul limitării stocării — consacrat în GDPR — impune ca datele să fie păstrate doar atât cât este necesar scopului urmărit. În practica Biroului de Credit, acest principiu s-a materializat într-un termen standard de patru ani pentru datele negative, calculat de la ultima actualizare sau de la achitarea ultimei rate restante, după caz.

Acest termen a fost inițial structurat prin Decizia ANSPDCP nr. 105/2007 — abrogată ulterior prin Decizia nr. 99/2018 — și a fost preluat în contractele de participare la sistem și în practica operatorilor. Chiar și după abrogarea reglementării ANSPDCP, instanțele au confirmat că termenul de patru ani rămâne valabil în temeiul cadrului GDPR și al obligațiilor asumate contractual de participanți.

Menținerea termenului de patru ani este justificată, în opinia instanțelor și a doctrinei, de principiul proporționalității și de necesitatea obiectivă a participanților de a accesa un istoric relevant al comportamentului de plată. Ștergerea prematură a datelor negative ar afecta acuratețea scoringului de credit și ar periclita disciplina financiară și stabilitatea sistemului bancar. Curtea de Justiție a UE a subliniat, în cauza C-634/21 SCHUFA, că stocarea pe termen lung a informațiilor negative în registre private nu poate depăși durata permisă pentru registrele publice, în absența unui interes legitim clar și preponderent, și că un test de proporționalitate este obligatoriu.

Situațiile concrete în care ștergerea este justificată

Dincolo de expirarea termenului de patru ani — care atrage ștergerea automată — există și alte situații în care o persoană poate solicita, cu șanse reale de succes, radierea din Biroul de Credit:

Date incorecte sau raportate eronat

Dacă informațiile raportate de bancă sau IFN nu reflectă realitatea — de exemplu, o datorie este înregistrată ca neachitată deși a fost plătită, sau suma restantă este incorectă — persoana vizată are dreptul la rectificare și, dacă situația o impune, la ștergere. Participantul are obligația legală de a transmite date exacte și de a corecta orice eroare imediat ce o identifică sau este notificat în acest sens.

Prelucrare fără temei legal valabil

Dacă datele au fost raportate în absența unui temei legal — de exemplu, fără a fi respectate condițiile de informare prealabilă a debitorului — prelucrarea poate fi calificată ca ilegală, ceea ce justifică ștergerea. Jurisprudența invocă în acest context și cauza C-201/14 Bara a CJUE, care a stabilit că prelucrarea fără informare prealabilă adecvată este incompatibilă cu cerințele de protecție a datelor.

Expirarea perioadei de stocare

Dacă termenul de patru ani s-a împlinit și datele nu au fost șterse automat, persoana vizată poate solicita expres radierea. Deși mecanismul de ștergere automată funcționează în mod obișnuit, există situații în care o verificare individuală și o cerere formală sunt necesare.

Când ștergerea nu poate fi obținută

Practica judiciară a definit clar situațiile în care cererile de radiere sunt respinse. Ștergerea nu se acordă atunci când datele sunt în continuare necesare îndeplinirii obligațiilor legale ale instituțiilor de credit, evaluării bonității sau administrării riscului de credit, în conformitate cu reglementările BNR. Instanțele au reținut că interesul legitim al participanților și stabilitatea sistemului financiar prevalează asupra dreptului la ștergere pe toată perioada în care scopul legitim subzistă.

De asemenea, ștergerea nu se poate obține dacă datele sunt necesare pentru constatarea, exercitarea sau apărarea unui drept în instanță — de exemplu, în situația unui litigiu pendinte între bancă și debitor. Tribunalul București a subliniat, în mai multe decizii, că dreptul la ștergere este neabsolut și că orice cerere trebuie evaluată în raport cu ansamblul circumstanțelor concrete.

Procedura practică: cum se solicită radierea

Pasul 1: Adresați-vă participantului

Primul pas este contactarea băncii sau a IFN-ului care a raportat datele în Biroul de Credit. Participantul este sursa datelor și titularul obligației de corectare sau ștergere. Biroul de Credit nu acționează independent, ci operează la cererea sau cu acordul participantului care a transmis informațiile. Această distribuție de roluri este consacrată atât în jurisprudență, cât și în arhitectura contractuală a sistemului.

Cererea adresată participantului trebuie să identifice cu precizie datele contestate, să precizeze temeiul juridic invocat (art. 17 GDPR, art. 16 GDPR pentru rectificare etc.) și să fie însoțită de documentele justificative relevante — de exemplu, dovada achitării datoriei, extrase de cont sau alte înscrisuri care demonstrează inexactitatea datelor raportate.

Pasul 2: Analiza și soluționarea cererii

Participantul are obligația de a verifica temeiul prelucrării, corectitudinea datelor și împlinirea termenelor de stocare. Dacă cererea este întemeiată, instituția dispune actualizarea sau ștergerea datelor în sistemul Biroului de Credit. Termenul de răspuns este reglementat de GDPR: operatorul trebuie să comunice decizia în cel mult 30 de zile de la primirea cererii, termen ce poate fi prelungit cu încă 60 de zile în cazuri justificate de complexitate.

Pasul 3: Căi de atac în caz de refuz

Dacă participantul refuză cererea sau nu răspunde în termenul legal, persoana vizată are la dispoziție două căi: sesizarea Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP) sau acționarea în instanță. Instanța poate obliga operatorul la ștergere sau actualizare dacă constată nerespectarea drepturilor conferite de GDPR sau a regulilor aplicabile sistemului de birouri de credit. Jurisprudența arată că aceste căi sunt funcționale: Judecătoria București Sectorul 5 (Sentința nr. 8966/2019) și Judecătoria Cornetu (Decizia nr. 3161/2019) au acordat astfel de obligații în cazuri în care condițiile legale erau îndeplinite.

Ce spune jurisprudența recentă

Practica judiciară din România conturează un echilibru relativ stabil între dreptul la ștergere și interesele legitime ale sistemului de creditare. Câteva repere esențiale:

• Judecătoria Cluj-Napoca, Sentința nr. 7427/2019: a stabilit că, după GDPR, temeiul prelucrării în Biroul de Credit este interesul legitim și obligația legală, nu consimțământul; retragerea consimțământului nu obligă la ștergere dacă există un alt temei valid.
• Tribunalul București, Decizia nr. 3822/2020: a confirmat rolul exclusiv al participantului în ștergere/actualizare și menținerea termenului de patru ani ca regulă operațională, inclusiv după abrogarea Deciziei ANSPDCP nr. 105/2007.
• Judecătoria Cluj-Napoca, Sentința nr. 4080/2020: reafirmă mutarea temeiului prelucrării și caracterul inadecvat al consimțământului condiționat contractual ca singur temei.
• CJUE, Cauza C-634/21 SCHUFA: a subliniat necesitatea unui test de proporționalitate și de minimizare a datelor; ștergerea prevalează când datele nu mai sunt necesare sau lipsesc temeiuri suficiente pentru prelucrare ulterioară.

Concluzii

Ștergerea din Biroul de Credit este posibilă, dar nu la simpla solicitare a debitorului. Condițiile sunt clar delimitate de GDPR și de practica judiciară: date incorecte sau prelucrate ilegal, expirarea termenului de stocare de patru ani sau inexistența oricărui temei legal care să justifice menținerea prelucrării. În toate celelalte situații — în special când datele sunt necesare evaluării bonității sau respectării obligațiilor impuse de BNR — dreptul la ștergere cedează în fața interesului legitim al participanților și al stabilității sistemului financiar.

Procedura corectă implică adresarea cererii în primul rând participantului — banca sau IFN-ul care a raportat datele — și nu Biroului de Credit direct. Dacă răspunsul este negativ sau tardiv, ANSPDCP și instanțele judecătorești rămân căile de atac disponibile. O documentare atentă a situației și cunoașterea exactă a temeiului invocat sunt esențiale pentru o cerere fundamentată.