Czy w opisanej sytuacji instytucja pożyczkowa może przetwarzać dane klienta na podstawie art. 49 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu?

ADO jest instytucją pożyczkową w rozumieniu ustawy o kredycie konsumenckim (UKK) oraz instytucją obowiązaną w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. W dniu 1.02.2018 r. klient złożył wniosek o pożyczkę, który został rozpatrzony negatywnie. W dniu 12.07.2018 r. weszła w życie ww. ustawa, która objęła instytucje pożyczkowe w rozumieniu UKK. W dniu 25.07.2022 r. klient zwrócił się do ADO z wnioskiem o usunięcie danych.

Czy jest dopuszczalne, aby ADO w odpowiedzi podał osobie, której dane dotyczą, że dane są przetwarzane w celu wypełnienia obowiązku prawnego ciążącego na ADO wynikającego z art. 49 ww. ustawy, ponieważ nie minął okres 5 lat od złożenia wniosku, mając jednak na uwadze fakt, że w dniu pozyskania danych (złożenia wniosku) taki obowiązek prawny po stronie ADO nie istniał.