WSA: prawnie uzasadniony interes istnieje przez okres roszczenia

Wiele orzeczeń WSA w Warszawie odnosi się do możliwości zalegalizowania przetwarzania danych osobowych na podstawie prawnie uzasadnionego interesu administratora danych. W Judykaturze pisaliśmy o tym i tutaj:

WSA o wewnętrznych celach administracyjnych i prawnie uzasadnionym interesie

i tutaj:

Kolejny wyrok w sprawie przetwarzania danych “na zapas”

i tutaj:

Prawnie usprawiedliwiony interes nie może prowadzić do przetwarzania na zapas

Tym razem WSA w Warszawie stanowczo wskazał jak należy rozumieć przesłankę prawnie uzasadnionego interesu administratora.

W uzasadnieniu orzeczenia wskazał, że:

należy konsekwentnie przyjąć, że w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń, istnieje prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych

Sąd uchylił decyzję Prezesa UODO wskazując, że:

Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną – dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP

Prezes UODO, w decyzji z sierpnia 2021 r. nakazał pewnemu Banku “zaprzestanie przetwarzania danych osobowych Pana P.C., dotyczących umowy nr […] z dnia […] lutego 2009 r.”

Decyzja ta zapadł w następującym stanie prawnym:

• Skarżący (wskazał) w skardze cyt.: “(…) S. C. B. S.A. nie zaprzestał całkowitego przetwarzania jego danych osobowych, mimo złożonego przez konsumenta wniosku o zaprzestanie przetwarzania jego danych osobowych (cofnięcia zgody na przetwarzanie danych osobowych). (…) dane osobowe zostały przekazane w związku z zawarciem umowy pożyczki nr […] z dnia […].02.2009 roku.
• Mimo wystąpienia trudności ze spłatą, zobowiązanie zostało ono w całości uregulowane (spłata całkowita w […].2018r. na rzecz podmiotu, który nabył wierzytelność z umowy)” (dowód: pismo Skarżącego z dnia […] grudnia 2019 r.).
• Umowa pożyczki została następnie sprzedana w dniu […] lutego 2018 r. do G. N., reprezentowanego przez G. S.A. Rozliczenie Umowy pożyczki nastąpiło w dniu […] lutego 2018 r. (dowód: wyjaśnienia B. z dnia […] listopada 2020 r.).
• Aktualnie B. nie ustala lub dochodzi roszczenia względem Skarżącego w związku z zawartą Umową pożyczki, również uczestnik nie podniósł roszczenia względem Umowy, niemniej jednak z uwagi na sprzedaż wierzytelności – B. wyłącznie przechowuje dane z Umowy pożyczki (dane identyfikacyjne, dane adresowe, dane dot. zobowiązań Skarżącego), nie dokonując przy tym innych operacji przetwarzania na danych Skarżącego w celach dowodowych względem nabywcy wierzytelności na podstawie art. 509 KC w zw. z art. 516 KC w zw. z art. 118 KC w zw. z art. 6 ust. 1 lit. f RODO (…)” (dowód: wyjaśnienia B. z dnia […] listopada 2020 r.).

Prezes UODO podzielił ponadto stanowisko Naczelnego Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (wyrok NSA z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17).

W omawiamy orzeczeniu Sąd nie pozostawia najmniejszych wątpliwości, że:

analizowana pod tym kątem skarga S. C.B. S.A z siedzibę w. W. zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia […] sierpnia 2020 r., narusza w sposób istotny obowiązujące przepisy prawa.

oraz wskazuję, że:

istota problemu w niniejszej sprawie sprowadza się do udzielenia odpowiedzi na pytanie, czy art. 6 ust. 1 lit. f RODO stwarzający podstawę do przetwarzania danych osobowych dotyczy wyłącznie sporu już istniejącego realnego, jak twierdzi organ, czy też może dotyczyć sporu hipotetycznego na co powołuje się S.C.B.S.A.

Sąd precyzyjnie pokazuje jak należy rozumieć prawnie uzasadniony interes administratora:

nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych

w ocenie Sądu, nie sposób uznać bowiem – jak sugeruje organ nadzorczy – że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

i co najważniejsze:

należy zatem konsekwentnie przyjąć, że w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń, istnieje prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych.