Czy numer telefonu dłużnika jest niezbędny do windykacji jego zadłużenia? Czy jednak stanowi raczej element nacisku — ponieważ posiadając ten numer można do dłużnika dzwonić — a więc przetwarzanie numeru telefonu jest zbyteczne? I, wcale nie na marginesie: czy badając skargę na nieprawidłowości w przetwarzaniu danych osobowych przez windykatora PUODO powinien wziąć pod uwagę zarzut nieistnienia lub przedawnienia roszczeń? (wyrok Naczelnego Sądu Administracyjnego z 13 stycznia 2022 r., III OSK 4763/21).
Sprawa zaczęła się od skargi na odmowę usunięcia danych osobowych (m.in. imienia, nazwiska, numeru PESEL, adresu, numeru telefonu) przetwarzanych przez fundusz [sekrutyzacyjny?], który odkupił — przedawnione — długi od pierwotnego wierzyciela.
PUODO odmówił uwzględnienia skargi: cesja wierzytelności nie jest zakazana, przesłanką przetwarzania danych przez wierzyciela jest niezbędność dla realizacji prawnie uzasadnionego interesu administratora, zaś skorzystanie z prawa do bycia zapomnianym wyklucza m.in. przetwarzanie w celu ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e RODO). Natomiast organ ochrony danych osobowych nie może wchodzić w kwestie ewentualnego istnienia lub nieistnienia wierzytelności, względem ich przedawnienia, ponieważ jest to materia cywilna, a więc podlega kognicji sądów powszechnych.
W skardze na tę decyzję mężczyzna zarzucił, że nie jest dłużnikiem podmiotu, który przetwarza jego dane. Owszem, był klientem innej firmy, która naliczyła „bezumowną, fikcyjną opłatę”, aby następnie sprzedać dług windykatorowi — natomiast tak czy inaczej przetwarzanie danych w postaci numeru telefonu nie było niczym uzasadnione, ponieważ służyło tylko jako element nacisku poprzez natarczywe dzwonienie, a więc doszło do naruszenia zasady minimalizacji danych.
art. 5 ust. 1 lit. c) rozporządzenia o ochronie danych osobowych
Dane osobowe muszą być:
c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”);
WSA przyznał rację PUODO, który prawidłowo ocenił, iż nie jest uprawniony do badania istnienia wierzytelności, ponieważ do zakresu jego kompetencji należą wyłącznie kwestie związane z ochroną danych osobowych. Przetwarzanie danych osobowych dłużnika bez jego zgody jest dozwolone (art. 6 ust. 1 lit. f) RODO), a cesja wierzytelności uprawnia do przekazania kupującemu danych osobowych dłużnika. Urząd nie miał także obowiązku oceniać nadmiarowości przetwarzanych danych, ponieważ mężczyzna domagał się ich usunięcia w całości, zaś zarzut braku minimalizacji danych pojawiło się dopiero w skardze do sądu (wyrok WSA w Warszawie z 6 listopada 2020 r., II SA/Wa 2104/19).
W skardze kasacyjnej zainteresowany podkreślił, że organ powinien był wziąć pod uwagę zarzut nieistnienia dochodzonej wierzytelności, a przynajmniej poczekać na rozstrzygnięcie sądu cywilnego, a także rozważyć węższy zakres żądania, który przecież był objęty żądaniem szerszym (a maiore ad minus).
Naczelny Sąd Administracyjny zgodził się ze stanowiskiem PUODO, iż prawnie uzasadniony interes wierzyciela usprawiedliwia przetwarzanie danych osobowych dłużnika nawet wbrew jego zgodzie, zaś reguła ta dotyczy także podmiotu, który odkupił należność od pierwotnego wierzyciela. Podobnie na przeszkodzie przetwarzaniu danych dłużnika nie stoi sporny charakter długu — jeśli dłużnik uważa, że dług nie istnieje, bo uległ przedawnieniu, to organem właściwym do rozstrzygnięcia tego sporu jest sąd cywilny (np. w trybie powództwa o ustalenie); brak jest przy tym przepisu nakazującego zawieszenie postępowania administracyjnego na czas rozstrzygnięcia sprawy cywilnej (a jeśli takowy istnieje, to nie wskazano go w postawach skargi kasacyjnej).
Prawidłowo natomiast skarżący postrzega, iż brak nakazania usunięcia numeru telefonicznego — który nie jest niezbędny do dochodzenia należności, zaś służy wyłącznie jako forma nacisku — można traktować jako naruszenie zasady minimalizacji danych. Nie ma przy tym znaczenia, że od początku mężczyzna domagał się usunięcia wszystkich danych, zaś na art. 5 ust. 1 lit. c) RODO powołał dopiero na etapie skargi do WSA — albowiem PUODO powinien wziąć pod uwagę zgodność z zasadami przetwarzania danych osobowych, w tym także z zasadą minimalizacji danych.
W ocenie NSA oznacza to, że WSA nie odniósł się do zarzutu nierozpoznania sprawy — czyli braku analizy czy numer telefonu jest czy nie jest niezbędny do windykacji zadłużenia — zatem zaskarżony wyrok i decyzja zostały uchylone, zatem PUODO będzie musiał jeszcze raz pochylić się nad tematem.