Niejedna giełda długów zmagała się z wdrożeniem zasad RODO m. in. w kontekście zakresu publikowanych danych osobowych. W jednej z takich spraw Prezes Urzędu Ochrony Danych Osobowych, w czerwcu 2019 r., oddalił skargę osoby, której dane osobowe oraz te dotyczące zadłużenia widniały w ogólnodostępnej, internetowej bazie długów. Osoba, której dane ujawniono zakwestionowała podstawę prawną przetwarzania danych osobowych przez Spółkę z uwagi na przedawnienie wierzytelności wynikającej z umowy zawartej w styczniu 2012 r. z firmą X. S.A. Wniosła także o przywrócenie stanu zgodnego z prawem poprzez usunięcie jego wszystkich danych osobowych przez E (administrator danych – operator giełdy długów). Prezes Urzędu Ochrony Danych Osobowych stwierdził, że E. wyjaśniła iż nabyła dane osobowe strony na podstawie umowy o zarządzanie wierzytelnościami. Na podstawie tej umowy zostały przekazane do E. dane osobowe skarżącego celem podejmowania czynności zmierzających do odzyskania wierzytelności. Zakres pozyskanych przez Spółkę danych osobowych skarżącego obejmował: imię, nazwisko, datę urodzenia, płeć, numer ewidencyjny PESEL, adresy korespondencyjne, numer telefonu, adres poczty elektronicznej, informacje dotyczące podstawy roszczenia w rozbiciu na składniki finansowe, tj. należność główną, odsetki oraz numer rachunku bankowego dedykowanego do spłaty zadłużenia, datę zawarcia umowy i datę rozwiązania umowy. W listopadzie 2020 r. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę tej osoby na powyższą decyzję Prezesa UODO. W orzeczeniu tym Sąd wskazał, że: Jak trafnie przyjął organ przepisami uprawniającymi Fundusz i Spółkę do przetwarzania danych osobowych skarżącego aktualnie są art. 6 ust. 1 lit. f) rozporządzenia 2016/679, który wypełnia podstawy prawne przetwarzania danych osobowych, a także art. 28 ust. 3 wspomnianego rozporządzenia, w którym przetwarzanie przez podmiot przetwarzający odbywa się na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Nadto Sąd zauważył, że: Żądanie minimalizacji danych […]