Czy konieczność dochodzenia roszczeń lub obrony przed żądaniami jest przesłanką przetwarzania danych osobowych? Jeśli owym potencjalnym adwersarzem może być zupełnie inny podmiot, niż osoba, której dane są przechowywane? A może ewentualne, przyszłe i niepewne roszczenia w ogóle nie mogą posłużyć jako podstawa do dalszego przetwarzania?
wyrok Naczelnego Sądu Administracyjnego z 10 lipca 2025 r. (III OSK 1594/22)
Przetwarzanie danych w celu dochodzenia roszczeń (tj. przetwarzanie w celach windykacyjnych) oraz obrony przed istniejącymi roszczeniami, nie jest tożsame z przetwarzaniem na wypadek ewentualnego zaistnienia takich roszczeń w przyszłości, a więc na wypadek przyszłej i niepewnej konieczności dochodzenia roszczeń lub obrony przed nimi.
opis stanu faktycznego:
- sprawa dotyczyła skargi na bank, który mimo otrzymania żądania usunięcia danych nadal przetwarzał informacje o pożyczkobiorcy, choć wierzytelność wynikająca z niespłaconego zobowiązania została sprzedana, a klient należność tę uregulował;
- w toku postępowania bank wyjaśnił, że zgodnie z prawem po cesji zbywca ponosi odpowiedzialność wobec cesjonariusza za to, że wierzytelność istnieje, zatem dane przechowuje wyłącznie w celach dowodowych, do czasu przedawnienia roszczeń nabywcy — tj. przez 3 lata;
- (pozostawione w uzasadnieniu okruszki pozwalają stwierdzić, że pożyczkodawcą był Santander Consumer Bank, a wierzytelność odkupił od niego jakiś fundusz sekrutyzacyjny);
art. 516 kodeksu cywilnego
Zbywca wierzytelności ponosi względem nabywcy odpowiedzialność za to, że wierzytelność mu przysługuje. Za wypłacalność dłużnika w chwili przelewu ponosi odpowiedzialność tylko o tyle, o ile tę odpowiedzialność na siebie przyjął.
art. 6 ust. 1 lit. f RODO
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą
- z tym poglądem nie zgodził się PUODO: skoro FIZ jako nabywca wierzytelności nie zgłasza jakichkolwiek pretensji, to odpada możliwość przetwarzania w oparciu o przesłankę uzasadnionego interesu;
- nakazując usunięcie danych organ wyjaśnił, że cezurą przetwarzania nie może być termin przedawnienia roszczenia cywilnego, ponieważ roszczenie przedawnione nadal istnieje, acz pozwala dłużnikowi bronić się odpowiednim zarzutem — co w sumie oznacza, że bank mógłby przetwarzać dane permanentnie;
wyrok WSA:
- odmienną koncepcję przedstawił WSA: po pierwsze prawnie uzasadniony interes nie musi wynikać z przepisów prawa, lecz musi być z prawem zgodny, zatem może wnikać także z interesów gospodarczych, tak faktycznych jak i prawnych;
- takim interesem może być także konieczność obrony przed roszczeniami wynikającymi z zawartych umów, choćby nie zostały jeszcze sformułowane — dopóki cedent może ponosić odpowiedzialność wobec cesjonariusza za istnienie sprzedanej wierzytelności, dopóty ma prawo przetwarzać dane osoby, z którą wierzytelność się wiąże;
- uchylając decyzję PUODO zakwestionowano też argumentację, iż przeciwna wykładnia oznaczałaby prawo nieustannego przechowywania danych osobowych ex-klienta: skoro bank mówi, że będzie je przechowywał do upływu terminu przedawnienia roszczeń przysługujących cesjonariuszowi, to należy przyjąć, iż wie, że w tym momencie zniknie przesłanka realizacji uzasadnionego interesu (wyrok WSA w Warszawie z 28 marca 2022 r., II SA/Wa 3673/21);
wyrok NSA:
- przetwarzanie danych z powołaniem się na przesłankę uzasadnionego interesu administratora może dotyczyć tylko sytuacji istniejącej;
- stąd też bank może przetwarzać dane ex-klienta jeśli musi się bronić lub dochodzić swych należności, ale przetwarzanie danych nie jest dopuszczalne w przypadku roszczeń ewentualnych — bo wówczas nie można mówić o „niezbędności” (jak w art. 6 ust. 1 lit. f RODO);
- brak wykazania owej niezbędności oznacza brak adekwatności przetwarzania danych wobec wskazanych celów, zaś naruszenie zasady ograniczenia celu i minimalizacji danych oznacza naruszenie zasady rozliczalności przetwarzania;
- przetwarzanie danych byłego pożyczkobiorcy przez bank jest w tej sytuacji klasycznym przykładem przetwarzania „na zapas” (i tu następuje mały wywód cywilistyczny, z którego wynika, że całkowicie wystarczające jest wydanie przez cedenta cesjonariuszowi uwierzytelnionych wyciągów z dokumentów, a jeśli bank przejął odpowiedzialność za wypłacalność dłużnika, to tylko jego problem, a nie ex-dłużnika);
- mało tego: skoro przesłanka uzasadnionego interesu wymaga zbadania czyje interesy mają charakter nadrzędny, to prawidłowo przeprowadzony test równowagi nie może usprawiedliwiać przetwarzania danych osoby, która dług uregulowała, acz w obronie przed hipotetycznymi i domniemanymi żądaniami innego podmiotu;
Nie można twierdzić, że przetwarzanie danych osobowych „na wszelki wypadek”, czy „na zapas” lub w odniesieniu do „ewentualnych i potencjalnych roszczeń” stanowi „uzasadniony interes” Banku.
- stwierdzając, że roszczenia ewentualne, przyszłe i niepewne — choćby nie uległy one jeszcze przedawnieniu — nie powalają na przetwarzanie danych osobowych (por. wyrok NSA z 29 lipca 2025 r., III OSK 132/22), NSA uwzględnił skargę kasacyjną PUODO i uchylając wyrok NSA oddalił skargę na decyzję.
Zamiast komentarza: w ogólności się nie zgadzam — aczkolwiek w tym przypadku wyrok uważam za generalnie prawidłowy.