Jak długo można przetwarzać dane byłego klienta? Ważny wyrok NSA

Konieczność udostępniania danych osobowych jest coraz powszechniejsza. Podanie imienia, nazwiska, numeru telefonu, adresu, a niekiedy nawet numeru lub skanu dowodu osobistego albo prawa jazdy – choć zazwyczaj dobrowolne – jest w praktyce w wielu przypadkach wymagane – chociażby przy wynajmowaniu auta czy nart na stoku. A ich przetwarzanie jest dopuszczalne nawet po skorzystaniu z usługi czy zakończeniu umowy z uwagi na zabezpieczenie ewentualnych roszczeń. Nie może to jednak trwać w nieskończoność. Potwierdza to środowy wyrok Naczelnego Sądu Administracyjnego (NSA), który może być bardzo istotną wskazówką dla wszystkich firm pozyskujących dane w celu ochrony swoich interesów.      

Skan dowodu i prawa jazdy, czyli jakie dane byłego klienta można przetwarzać

Spór w sprawie zaczął się w sierpniu 2019 r., gdy do prezesa Urzędu Ochrony Danych Osobowych (UODO) wpłynęła skarga na przetwarzanie danych osobowych przez jedną ze spółek zajmujących się wynajmem aut. Poskarżył się na nią klient, który w marcu 2018 r. skorzystał z jej usług. Mężczyzna zarzucił, że spółka przetwarza jego dane niezgodnie z prawem w związku z zawartą wtedy umową najmu samochodu. Okazało się, że bezpośrednią przyczyną interwencji u UODO był SMS otrzymany od byłego współpracownika, który zawierał skan jego dowodu osobistego oraz prawa jazdy.

Mężczyzna tłumaczył, że korzystał z usług innej wypożyczalni samochodów. Zapewne przy tej okazji dowiedział się o problemie i próbował ustalić, kto i w jakim celu posługuje się skanem jego dokumentów. Tego jednak nie ustalił, ale postanowił wezwać firmę, z której usług wcześniej korzystał, do zaniechania przetwarzania jego danych w postaci skanu dowodu osobistego i prawa jazdy oraz zwrócił się z wnioskiem o udzielenie informacji.

Spółka odpowiedziała, że nie ma kopii czy skanów jego dokumentów. Potwierdziła, że dane osobowe klienta uzyskała od niego samego w związku z zawarciem umowy najmu samochodu. Były to: imię, nazwisko, adres, numeru dowodu osobistego i prawa jazdy oraz numer telefonu. I tylko te dane aktualnie przetwarza w swoim programie do kompleksowej obsługi wypożyczalni samochodów. Kategorycznie zaprzeczyła jednak, aby jej pracownik wykonał skany czy fotokopie dowodu osobistego oraz prawa jazdy byłego już klienta. Tym samym nie udostępniła ich też na rzecz osób trzecich. 

Przetwarzanie danych byłego klienta po skończeniu umowy

Te tłumaczenia nie załatwiły sprawy, bo prezes UODO nakazał spółce usunięcie danych osobowych:  imienia, nazwiska, adresu, numeru dowodu osobistego, numeru prawa jazdy. Urzędnicy nie kwestionowali, że mężczyzna udostępnił spółce swoje dane osobowe dobrowolnie, w związku z zawarciem umowy najmu samochodu. A postępowanie nie wykazało, aby spółka lub jej pracownik wykonał kopię czy skany dowodu osobistego i prawa jazdy skarżącego.

UODO wskazał także, że przetwarzanie danych było dopuszczalne z uwagi na zawarcie i wykonywanie umowy najmu auta. Ale już nie zgodził się, że spółka ma prawo dalej je przetwarzać na podstawie art. 6 ust 1 lit. f RODO, tj. w celu ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami związanymi z wynajęciem samochodu.

Czytaj więcej

Dane osobowe

Zgoda na przetwarzanie danych osobowych - jak ją legalnie odebrać i kiedy jest zbędna

Do przetwarzania danych osobowych nie zawsze potrzebna jest zgoda osoby, której dane te dotyczą....

Jak zauważył, działanie takie nie wynikało z tego, że były klient wystąpił z roszczeniem wobec spółki (ta ostatnia też nie dochodziła wobec klienta jakichkolwiek roszczeń). Brak jest zatem spełnienia przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów administratora. Spółka przetwarza dane osobowe w tym celu wyłącznie „na zapas”, a takie przetwarzanie danych tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem jest niedopuszczalne.

Dobrowolna zgoda a RODO. Co wskazał WSA?

Firma zaskarżyła nakaz, ale przegrała. Najpierw racji nie przyznał jej Wojewódzki Sąd Administracyjny (WSA) w Warszawie. Przypomniał, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO. Jedną z nich, przewidzianą w lit. f, jest przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy jest ona dzieckiem.

WSA podkreślił, że podstawa przetwarzania z art. 6 ust. 1 lit. f RODO ma zastosowanie, gdy administrator nie posiada zgody osoby, której dane dotyczą, nie istnieje żaden przepis, który mógłby stanowić podstawę do przetwarzania danych osobowych oraz gdy administrator nie może powołać się na realizację umowy. Ale mimo to przetwarzanie danych należy uznać za legalne z uwagi na „prawnie uzasadniony interes” administratora lub strony trzeciej. Przesłanka ta ma charakter dodatkowy, uzupełniający pozostałe podstawy dopuszczalności przetwarzania.

Czytaj więcej:

Biznes

Prawa i obowiązki administratora związane z powierzeniem danych do przetwarzania podmiotom trzecim

Administratorzy danych osobowych, pow...

Pro

Niemniej, jak tłumaczył sąd, oparcie przetwarzania danych osobowych na spornym przepisie wymaga kumulatywnego spełnienia dwóch przesłanek pozytywnych. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, niezbędna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów. W ocenie sądu nie wystarczy zatem samo występowanie takich interesów, lecz ich realizacja musi wymagać przetwarzania danych osobowych.

Ponadto następnie należy ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym. Z treści motywu 47 RODO wynika zaś, że aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym dotyczącą tego, czy w czasie i w kontekście, w którym zbierane są dane, osoba, której one dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie (w tym celu).

Informacje o klientach. Terminy przetwarzania danych osobowych

Do podobnych wniosków doszedł też NSA. Nie krył co prawda, że sporna przesłanka niezbędności jest oparta na nieprecyzyjnych pojęciach. Niemniej sąd nie miał wątpliwości, że do jej realizacji muszą istnieć jakieś cele wynikające z prawnych interesów. A ponadto ocena owych celów i interesów prawnych musi odbywać się na tle konkretnego przypadku.

Czytaj więcej:

Prawo w firmie

Sposoby na legalne przetwarzanie danych osobowych

Przedsiębiorca nie zawsze musi mieć z...

Pro

Zdaniem NSA nie da się jednak w kontekście przesłanki niezbędności wyznaczyć jednego, sztywnego terminu, czyli że w oparciu o nią w każdym przypadku dane można przetwarzać, np. rok albo dwa lub pięć lat. I choć w spornym przypadku dane mogły być przetwarzane przez jakiś czas, bo firma ma prawo do zabezpieczenia swoich interesów, to nie można uznać, że przetwarzanie jest możliwe w nieskończoność.   

Jak podkreślił sędzia NSA Rafał Stasikowski, to okoliczności konkretnej sprawy będą wyznaczać w danym przypadku termin legalnego przetwarzania danych osobowych w oparciu o przesłankę niezbędności. A pomocne w jego ustaleniu na tle danego postępowania będzie przede wszystkim upływ terminów przedawnień, np. roszczeń, kar administracyjnych czy mandatów. Wyrok jest prawomocny.