Prawnie usprawiedliwiony interes nie może prowadzić do przetwarzania na zapas

26.09.2021

Administratorzy danych często opierają przetwarzanie danych po zakończeniu np. świadczenia umowy na wskazaniu, że dalsze przetwarzanie danych osobowych jest niezbędne do celów wynikających z ich prawnie uzasadnionych interesów. Często takimi interesami administratora jest potrzeba dochodzenia lub obrony przed roszczeniami.

Tak też wskazał administrator wobec, którego Prezes UODO wydał decyzję nakazującą usunięcie danych osobowych M.P., a w marcu br. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę na tę decyzję.

W postępowaniu przed Prezesem UODO, którego okrojoną wersję znamy wyłącznie z treści uzasadnienia wyroku WSA,  M.P. wniósł o to, aby administrator danych zaprzestał przetwarzania jego danych osobowych oraz usunął jego dane osobowe ze wszystkich baz danych Spółki.

Prezes UODO ustalił, że “w dniu […] marca 2018 r. skarżący (M.P.) zawarł ze Spółką umowę najmu samochodu osobowego marki […]”. Skarżący korzystał z usług innej wypożyczalni samochodów, tj. B. Sp. z o.o. Skarżący kontaktował się z byłym współpracownikiem oraz pracownikami B. Sp. z o.o. w celu ustalenia kto i w jakim celu posługuje się skanem dowodu osobistego i skanem prawa jazdy skarżącego. Zgodnie z oświadczeniem pełnomocnika cyt.: “(…) skarżącemu nie udało się ustalić, kto i w jakim celu posługuje się skanami jego dowodu osobistego i prawa jazdy”.

Spółka w odpowiedzi na wniosek Skarżącego oparty o art. 15 ust. 1 i 2 RODO wskazała, że “nie przetwarza danych osobowych skarżącego w kwestionowany przez niego sposób, tj. poprzez posiadanie kopii/skanu dowodu osobistego skarżącego oraz “dane osobowe skarżącego uzyskała od niego samego w związku z zawarciem umowy najmu samochodu marki […] w dniu […] marca 2018 r. w zakresie jego imienia, nazwiska, adresu, numeru dowodu osobistego, numeru prawa jazdy, numeru telefonu, które aktualnie przetwarza w systemie informatycznym, tj. w programie firm S. przeznaczonym do kompleksowej obsługi wypożyczalni samochodów (wyjaśnienia Spółki z dnia […] lutego 2019 r.)”.

W uzasadnieniu swojej decyzji Prezes UODO wskazał, że:

Przetwarzanie było dopuszczalne z uwagi na zawarcie i wykonywanie umowy najmu samochodu z dnia […] marca 2018 r., której stroną był skarżący. Spółka podniosła, iż aktualnie przetwarza dane osobowe skarżącego wyłącznie w celu ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami związanymi z wynajęciem samochodu, na podstawie art. 6 ust 1 lit. f rozporządzenia 2016/679.

oraz

Prezes Urzędu zakwestionował wskazywaną przez Spółkę podstawę przetwarzania danych osobowych skarżącego, ponieważ z zebranego materiału dowodowego nie wynika by skarżący wystąpił z roszczeniem wobec Spółki, bądź też, by Spółka dochodziła jakichkolwiek roszczeń od skarżącego na drodze sądowej, które uzasadniałyby uprawnienie Spółki do zachowania i przetwarzania jego danych osobowych w związku z ich zabezpieczeniem i dochodzeniem przez skarżącego lub Spółkę.

Wojewódzki Sąd Administracyjny badając skargę Spółki nakazującą usunięcie danych byłego klienta przychylił się do stanowiska Prezesa UODO i wskazał:

Podstawa prawna przetwarzania danych osobowych wymieniona w przepisie art. 6 ust. 1 lit. f RODO ma zastosowanie w sytuacji, gdy administrator nie posiada zgody osoby, której dane dotyczą, nie istnieje żaden przepis, który mógłby stanowić podstawę do przetwarzania danych osobowych oraz gdy administrator nie może powołać się na realizację umowy, a mimo to przetwarzanie danych należy uznać za legalne z uwagi na “prawnie uzasadniony interes” administratora lub strony trzeciej. Przesłanka ta ma charakter dodatkowy, uzupełniający pozostałe podstawy dopuszczalności przetwarzania.

oraz co najważniejsze:

Kluczowe dla wydania przez Prezesa Urzędu decyzji, nakazującej Spółce usunięcie danych osobowych skarżącego, ma fakt, iż Spółka nie wykazała, poza koniecznością ochrony roszczeń mogących powstać w przyszłości, innej prawnie uzasadnionej podstawy dalszego przetwarzania danych osobowych skarżącego. Spółka, powołując się na art. 6 ust. 1 lit f rozporządzenia 2016/679, wskazywała jako wyłączną podstawę przetwarzania danych osobowych skarżącego w programie komputerowym Spółki ochronę przed przyszłymi niepewnymi roszczeniami.

Zdaniem Sądu, w rozstrzyganej sprawie, organ prawidłowo przyjął, że nie została spełniona przez Spółkę przesłanka niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych M. P., ponieważ z ustaleń faktycznych nie wynika, aby wymieniony wystąpił z roszczeniem wobec Spółki, bądź też, by Spółka dochodziła jakichkolwiek roszczeń od niego na drodze sądowej, które uzasadniałyby uprawnienie Spółki do zachowania i przetwarzania jego danych osobowych w związku z ich zabezpieczeniem i dochodzeniem roszczeń. Tak więc Spółka przetwarza jego dane osobowe w ww. celu wyłącznie “na zapas”, aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami.

Rację ma Prezes Urzędu, że przesłanka z art. 6 ust. 1 lit. f rozporządzenia 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

 

Wyżej wskazany kierunek WSA w Warszawie zaczerpnęło ze swoich wcześniejszych wyroków.

I tak w wyroku z grudnia 2010 r. WSA wskazał, że:

Należy bowiem zwrócić uwagę, iż przesłanka z art. 23 ust 1 pkt 5 ustawy dotyczy sytuacji już istniejącej i pewnej, a więc przypadku, gdy istnieje potrzeba udowodnienia, potrzeba dochodzenia roszczenia z tytułu prowadzonej działalności gospodarczej, nie zaś sytuacji, gdy dane są przetwarzane na wypadek ewentualnego procesu i ewentualnej potrzeby udowodnienia, iż dane osobowe pozyskane bez zgody osoby, której dotyczą są przetwarzane zgodnie z prawem.

Należy również podkreślić, iż skarżący jedynie zapowiedział i nie zrealizował swoich zapowiedzi odnośnie skierowania sprawy na drogę sądową. Stąd też spółka, zdaniem Sądu, nie może przetwarzać danych osobowych skarżącego tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem skarżącego.

W przeciwnym bowiem razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe skarżącego jeżeli nie zrealizuje on swoich zapowiedzi.

Wyrok ten został uchylony przez Naczelny Sąd Administracyjny, który wskazał, że:

Wskazać należy, iż w przypadku wszczęcia postępowania z wniosku strony, wynikające z niego żądanie wyznacza zakres sprawy podlegającej rozpoznaniu przez organ. Pierwotna skarga T.W., na podstawie której Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie dotyczyło umieszczenia jednego zdjęcia z jego wizerunkiem i podpisem pod tym zdjęciem. Także w toku postępowania administracyjnego nie sformułował on zarzutu nieuprawnionego przetwarzania jego danych osobowych w zakresie innym niż utrwalony na tej fotografii oraz w podpisie do niej, a także nie kierował pod adresem organu innych żądań. A zatem Generalny Inspektor Ochrony Danych Osobowych prawidłowo objął zakresem prowadzonego postępowania zagadnienie przetwarzania przez Spółkę jego danych osobowych w zakresie utrwalonym na ściśle określonej fotografii klasowej publikowanej pierwotnie pod adresem […] oraz podpisie do niej.

Po ponownym rozpoznaniu sprawy WSA wskazał, że:

Wobec powyższego, istota sprawy w niniejszym postępowaniu sprowadzała się do wykładni przepisu art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Zgodnie z brzmieniem wyżej powołanej normy prawnej, przetwarzanie danych osobowych jest dopuszczalne jedynie wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie to nie narusza praw i wolności osoby, której dane dotyczą.

W ocenie tutejszego Sądu spełniona jest też pierwsza przesłanka opisana w omawianym przepisie. Wobec zapowiedzi strony, iż wystąpi wobec Spółki na drogę sądową z roszczeniami związanymi z legalnością przetwarzania jego danych osobowych, Spółka była uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych, na wypadek ewentualnego postępowania sądowego. Zapowiedź wystąpienia z roszczeniami uprawdopodabnia bowiem potrzebę gromadzenia przez Spółkę dowodów, którymi będzie mogła się posłużyć, jeśli strona zrealizuje swoje zapowiedzi wytoczenia powództwa. Za koniecznością omawianego przetwarzania danych osobowych strony przemawiała też okoliczność podniesiona przez uczestnika postępowania w piśmie procesowym z dnia 20 kwietnia 2011 r., iż przedmiotowe zdjęcie jest dowodem w postępowaniu przygotowawczym prowadzonym przez Policję.

W takim stanie rzeczy NSA oddalił skargę kasacyjną:

Ustosunkowując się do zgłoszonych zarzutów naruszenia art. 25 ust. 1, art. 26 ust. 1 pkt 1 i 3 oraz art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych należy stwierdzić, iż są one również nieuzasadnione.

Jak trafnie bowiem wskazał Sąd I instancji, w świetle art. 23 ust. 1 pkt 5 ustawy, przetwarzanie danych osobowych dopuszczalne jest także wtedy, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów administratora danych lub osób trzecich, którym są one przekazywane, a przetwarzanie danych nie narusza praw i wolności osoby, której dotyczą. W myśl powyższego przepisu Spółka była uprawniona do utrwalenia danych osobowych skarżącego i zachowania ich dla celów dowodowych, na wypadek ewentualnego postępowania sądowego.

Już sama zapowiedź wystąpienia z roszczeniami uprawdopodabnia bowiem potrzebę gromadzenia przez Spółkę dowodów, którymi będzie mogła się posłużyć, jeśli strona zrealizuje swoje zapowiedzi wytoczenia powództwa. Nie ma zatem podstaw do przyjęcia, że aktualnie realizowany proces przetwarzania kwestionowanych danych osobowych skarżącego (w celach dowodowych) narusza jakiekolwiek prawa czy wolności skarżącego. Przeciwnie – chroni w równym stopniu interesy Spółki (jako podmiotu, wobec którego skierowane zostały roszczenia skarżącego), jak i samego skarżącego, na potwierdzenie kwestionowanych przez niego okoliczności.

Ponadto nadmienić należy, że Spółka poinformowała skarżącego, że “fakt zamieszczenia zdjęcia został zarchiwizowany celem wykorzystania go jako materiału dowodowego w ewentualnych postępowaniach”, co nie spotkało się ze sprzeciwem. Tym samym skarżący – wbrew zarzutowi skargi kasacyjnej – posiadał wystarczającą wiedzę na temat sposobu, celu i zakresu gromadzenia jego danych przez Spółkę. Zmiana zaś sposobu ich przetwarzania nie uniemożliwiła mu rozszerzenia skargi o dalsze naruszenia, bowiem organ te okoliczności wziął pod uwagę przy formowaniu treści decyzji. Organ orzekając w sprawie zobowiązany jest bowiem uwzględniać okoliczności faktyczne istniejące w dacie wydawania rozstrzygnięcia. Skoro zatem przedmiotem skargi było przetwarzanie przez Spółkę określonych danych osobowych (utrwalonych na konkretnej fotografii i podpisie pod nią), to w sytuacji, gdy Spółka zaprzestała przetwarzania w/w danych osobowych poprzez publikację na portalu […] wizerunku z imieniem i nazwiskiem skarżącego, lecz kontynuowała proces przetwarzania polegający na przechowywaniu danych jedynie w celach dowodowych (bez podawania do publicznej wiadomości spornej fotografii klasowej), obowiązkiem GIODO było dokonanie merytorycznej oceny tego przechowania (bez potrzeby precyzowania skargi), co organ uczynił. Oznacza to, że bezspornym jest, iż zaprzestano przetwarzania danych osobowych skarżącego w sposób pierwotny. Z uwagi jednak na nowe okoliczności, tj. archiwizowanie w/w danych w celach dowodowych, organ odmówił uwzględnienia wniosku, prawidłowo opierając rozstrzygnięcie na art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Z tej przyczyny nie można było zasadnie twierdzić, że naruszone zostało prawo materialne, tj. powołane w skardze kasacyjnej przepisy ustawy z dnia 29 sierpnia 1997 r.