Kolejny wyrok w sprawie przetwarzania danych “na zapas”

We wrześniu 2021 r. informowaliśmy o tym, że powoli, ale skutecznie kształtuję się linia orzecznicza dotycząca braku możliwości przetwarzania danych osobowych “na zapas”, a więc na podstawie prawnie uzasadnionego interesu administratora po wykonaniu umowy:

Prawnie usprawiedliwiony interes nie może prowadzić do przetwarzania na zapas

Niepowielając argumentację dotyczącą takiego stanowisk, bo można ją odnaleźć w tych dwóch orzeczeniach przejdziemy do tego orzeczenia, które stało się powodem wpisu:

II SA/Wa 1340/20

II SA/Wa 607/20

I kolejnym orzeczeniem wpisującym się w ten “nurt” jest wyrok WSA w Warszawie, w którym Sąd oddalił skargę od decyzji Prezesa UODO nakazującej usunięcie danych osobowych. 

W tej sprawie Sąd badał skargę na decyzję Prezesa UODO, który po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą D. B. (dalej: “wnioskodawca”) na nieprawidłowości w procesie przetwarzania jego danych osobowych przez spółkę […] z siedzibą w […] (dalej także: “skarżąca spółka” lub “strona skarżąca”) – nakazał skarżącej spółce usunięcie danych osobowych D. B., w zakresie imienia, nazwiska oraz numeru telefonu.

Dane osobowe wnioskodawcy zostały pozyskane przez skarżącą spółkę na podstawie umowy cesji wierzytelności.

Organ nadzorczy wskazał, że sprzedaż tej wierzytelności została dokonana na podstawie art. 509 § 1 kc., zgodnie z którym wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania.

Prezes UODO wskazał, że w okresie między […] maja 2018 r. a […] lipca 2018 r. dane osobowe wnioskodawcy przetwarzane były na podstawie art. 6 ust. 1 lit. f RODO oraz stwierdził, że w przedmiotowej sprawie takim prawnie uzasadnionym interesem było dochodzenie roszczeń finansowych wobec D.B.

Z informacji zebranych w trakcie postępowania administracyjnego wynika także, że  obsługa windykacyjna wierzytelności ustała w dniu […] lipca 2018 r., w związku z czym skarżąca spółka przestała przetwarzać dane osobowe wnioskodawcy w tym celu.

Prezes UODO:

stwierdził, że skoro przeprowadzone postępowanie administracyjne nie wykazało, aby wnioskodawca oprócz niniejszego postępowania skierował wobec skarżącej spółki jakiekolwiek roszczenie, uznać trzeba, iż skarżąca spółka przetwarza dane osobowe wnioskodawcy wyłącznie w celu “na zapas”, aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami wnioskodawcy.

I jak zwykle, w takich sprawach, powołał się na uchylony przez NSA, wyrok II SA/Wa 1212/10:

II SA/Wa 1212/10

Jak widać taka argumentacja przyniosła pozytywny, dla Prezesa UODO, skutek, gdyż WSA w Warszawie wskazuję:

Sąd uznał, że Prezes UODO, wydając sporną decyzję z dnia […] lipca 2020 r., nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w stopniu mogącym mieć jakikolwiek istotny wpływ na końcowy wynik sprawy.

Organ nadzorczy nie dopuścił się jednocześnie naruszenia przepisów prawa materialnego, w tym w szczególności art. 6 ust. 1 lit. f, a także art. 17 ust. 1 i ust. 3 w zw. z art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).

Przechodząc do oceny legalności spornej decyzji, należy zauważyć na wstępie, że istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy skarżąca spółka […] wykazała, iż ma nadal prawnie uzasadniony interes, by – pomimo zakończenia postępowania windykacyjnego i braku roszczeń ze strony byłego dłużnika D. B. skierowanych wobec strony skarżącej – przetwarzać jego dane osobowe takie, jak imię, nazwisko oraz numerem telefonu.

Mając powyższe na względzie, Sąd uznał, że bezpodstawne są zarzuty skarżącej spółki dotyczące naruszenia art. 6 ust. 1 lit. f oraz art. 17 ust. 1 i ust. 3 lit. e RODO.

 

Wydaje się, że jedynym wyjściem administratora z takiej sytuacji jest oprócz złożenia skargi kasacyjnej, złożenie wniosku do WSA o wstrzymanie wykonania w całości decyzji Prezesa UODO (art. 61 § 2 pkt 1 ppsa), gdyż jak się coś raz usunie to już się tego nie ma.