WSA: Prezes UODO miał rację wskazując brak podstawy przetwarzania dancyh

W tym orzeczeniu WSA w Warszawie dokłada kolejną cegłę do coraz większego muru oddzielającego administratorów danych od możliwości przetwarzania pewnych kategorii danych osobowych po zakończeniu świadczenia usługi.

Tutaj administrator wynajmował auta na minuty i w związku z tym żądał, w trakcie rejestracji do serwisu podania takich danych jak:

imię, nazwisko, adres zamieszkania, numer PESEL, kraj wydania i numer prawa jazdy, numer telefonu oraz adres e-mail

Pewien z użytkowników tego serwisu skierował do Spółki żądanie usunięcia konta oraz jego danych osobowych.

Spółka wskazała, że:

dane osobowe w zakresie imienia, nazwiska, adresu zamieszkania, numeru PESEL oraz danych telemetrycznych przejazdów nadal będą przetwarzane na podstawie art. 112 ustawy o podatku towarów i usług przez 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku za fakturę oraz art. 118 Kodeksu cywilnego przez 6 lat od ostatniej transakcji;

Prezes Urzędu Ochrony Danych Osobowych decyzją z marca 2023 r. nakazał Spółce usunięcie danych osobowych M. K., w zakresie jego numeru PESEL.

PUODO odniósł się ponadto do stanowiska Spółki wskazującego, że obrona przed ewentualnymi roszczeniami skarżącego stanowi jej prawnie uzasadniony interes wynikający z art. 6 ust. 1 lit. f RODO. W ocenie organu przetwarzanie danych osobowych skarżącego przez Spółkę z uwagi na ww. cel nie znajduje jednak prawnego uzasadnienia w przepisach RODO. Zebrany w postępowaniu materiał dowodowy nie wykazał, aby skarżący wystąpił z jakimkolwiek roszczeniem wobec Spółki, które uzasadniałoby uprawnienie Spółki do zachowania i przetwarzania jego danych osobowych dla celów związanych z dochodzeniem przez Skarżącego roszczeń, w szczególności w sytuacji gdy – jak ustalono – pomiędzy stronami postępowania doszło do skutecznego rozwiązania umowy.

WSA w Warszawie oddalił skargę administratora i wskazał, że:

Spółka nie była uprawniona do przetwarzania danych osobowych uczestnika postępowania w powyższym zakresie w oparciu o tego rodzaju podstawę;

Spółka nie wystąpiła i nie zamierza wystąpić z jakimikolwiek roszczeniami względem uczestnika postępowania, ani też uczestnik postępowania nie wystąpił z roszczeniami względem Spółki, to trudno uznać, że przetwarzanie jej danych osobowych jest niezbędne do wskazywanych przez Spółkę celów. Tak określony cel przetwarzania danych osobowych jest bowiem celem ewentualnym. Ta jego cecha pozbawia zaś proces przetwarzania danych osobowych elementu niezbędności;

Sąd wydał w ostatnim czasie szereg innych wyroków, w których wypowiedział się o braku możliwości przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO w celu zabezpieczenia się przed ewentualnym przyszłymi i niepewnymi roszczeniami (patrz wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie z 11 marca 2021 r. sygn. akt II SA/Wa 1340/20, z 13 stycznia 2021 r. o sygn. akt II SA/Wa 607/20, z 29 lipca 2021 r. sygn. II SA/Wa 1725/20, z 16 listopada 2020 r. sygn. II SA/Wa 781/20, z 5 maja 2021 r. sygn. II SA/Wa 2014/20, z 15 listopada 2023 r. sygn. akt II SA/Wa 236/23, z 31 maja 2023 r., sygn. akt II SA/Wa 2058/22).