Tak wynika ze stanowiska generalnego inspektora ochrony danych osobowych Michała Serzyckiego, który odpowiada na wątpliwości kredytobiorców. Powołuje się na ustawę -Prawo bankowe (DzU z2002 r. nr72, poz.665 ze zm.). Art.105 ust.4 tej ustawy pozwala bankom (wspólnie z bankowymi izbami gospodarczymi) tworzyć instytucje do gromadzenia, przetwarzania i udostępniania niektórych informacji bankom oraz innym instytucjom kredytowym. Na tej podstawie działa Związek Banków Polskich, który prowadzi MIG-BR.
Gromadzenie danych nie odbywa się jednak dowolnie, ograniczenia dotyczą również przechowywania danych po spłacie kredytu, oddaniu pożyczki itp. Takie dane przetwarzane przez banki, inne instytucje udzielające kredytów oraz np. MIG-BR stanowią tajemnicę bankową. W zakresie dotyczącym osób fizycznych (konsumentów) przetwarzanie może być wykonywane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Do przetwarzania informacji o konsumentach po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją kredytową niezbędna jest pisemna zgoda osoby, której one dotyczą. Co istotne, zgodę tę można w każdym czasie odwołać - tak przewiduje art. 105a ust. 2 prawa bankowego.
Bez zgody zainteresowanego klienta banku lub innej instytucji kredytowej można przetwarzać informacje o takim konsumencie tylko wówczas, gdy są spełnione łącznie dwa warunki. Pierwszy -konsument nie wykonał zobowiązania lub dopuścił się zwłoki powyżej60 dni w spełnieniu świadczenia wynikającego z umowy. To jednak nie wystarczy - jeżeli doszło do tak długiej zwłoki lub klient nie zapłacił w ogóle, to powinno jeszcze upłynąć minimum 30 dni od poinformowania tej osoby przez bank lub instytucję kredytową o zamiarze przetwarzania bez jej zgody dotyczących jej informacji (stanowiących tajemnicę bankową). Przetwarzanie ich może trwać nie dłużej niż pięć lat od dnia wygaśnięcia zobowiązania.
