Prawnie uzasadniony interes po prawidłowym wykonaniu umowy nie istnieje, więc nie można przetwarzać danych osobowych ex-klienta (wyrok NSA)
Czy usługodawca może przetwarzać dane osobowe klientów po zakończonej współpracy? Jeśli rozważa dochodzenie roszczeń przeciwko korzystającemu ze świadczonych usług? Jeśli obawia się, że użytkownik wystąpi z roszczeniami przeciwko firmie? Czy jednak prawnie uzasadniony interes po wykonaniu umowy nie istnieje — o ile jakieś roszczenia nie zostały przez kontrahentów wyartykułowane — zatem dane osobowe powinny zostać usunięte? ... Dowiedz się więcej Tekst Prawnie uzasadniony interes po prawidłowym wykonaniu umowy nie istnieje, więc nie można przetwarzać danych osobowych ex-klienta (wyrok NSA) pojawił się poraz pierwszy w Czasopismo Lege Artis.
Czy usługodawca może przetwarzać dane osobowe klientów po zakończonej współpracy? Jeśli rozważa dochodzenie roszczeń przeciwko korzystającemu ze świadczonych usług? Jeśli obawia się, że użytkownik wystąpi z roszczeniami przeciwko firmie? Czy jednak prawnie uzasadniony interes po wykonaniu umowy nie istnieje — o ile jakieś roszczenia nie zostały przez kontrahentów wyartykułowane — zatem dane osobowe powinny zostać usunięte? (wyrok Naczelnego Sadu Administracyjnego z 5 lutego 2025 r., III OSK 6553/21).
opis stanu faktycznego:
- sprawa zaczęła się od zawarcia umowy wypożyczenia samochodu, na potrzeby czego wynajmujący m.in. zeskanował dowód osobisty i prawo jazdy najemcy; umowa została wykonana, samochód wrócił do właściciela;
- jakiś czas później skany dokumentów wypłynęły w innej wypożyczalni, więc ex-najemca zwrócił się do spółki z żądaniem udzielenia informacji o przetwarzanych danych, a po tym, jak z udzielonej odpowiedzi dowiedział się, że administrator nadal przetwarza takie informacje jak imię, nazwisko, adresu, numeru dowodu osobistego, numer prawa jazdy, numer telefonu, złożył w urzędzie skargę;
- w toku postępowania spółka wyjaśniła, że kierowca udostępnił swoje dane dobrowolnie, w celu zawarcia umowy najmu pojazdu, zaś aktualnie są przetwarzane jako niezbędne do ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami — bo klient zapowiadał, że wystąpi na drogę sądową;
motyw 47 RODO
Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. […] Prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest również przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.
- jednak PUODO stwierdził, że niedopuszczalne jest przetwarzanie danych w celu odparcia przyszłych niepewnych roszczeń i i w wydanej decyzji nakazał ich usunięcie;
orzeczenie WSA:
- odnosząc się do skargi firmy na tę decyzję WSA przypomniał, że skuteczne powołanie się na przesłankę z art. 6 ust. 1 lit. f) RODO wymaga wykazania przez administratora istnienia prawnie uzasadnionego interesu, weryfikacji, czy owo przetwarzanie rzeczywiście jest niezbędne dla realizacji owego interesu…
- …a także dokonania testu równowagi pomiędzy interesem administratora a prawami i wolnościami osoby, której dane są przetwarzane;
- skoro więc klient nie wysunął jakichkolwiek roszczeń i firma od niego też niczego nie dochodzi, nie można powołać się na prawnie uzasadniony interes po prawidłowym wykonaniu umowy w postaci odparcia przyszłych i niepewnych roszczeń;
art. 6 ust. 1 lit. f) RODO
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
- co oznacza, iż firma przetwarzana dane osobowe „na zapas” — a więc decyzja nakazująca ich usunięcie była prawidłowa (wyrok WSA w Warszawie z 11 marca 2021 r., II SA/Wa 1340/20; na marginesie: w składzie orzekającym zasiadał sędzia Tomasz Szmydt);
skarga kasacyjna:
- w skardze kasacyjnej od tego orzeczenia spółka podkreśliła, że wykonanie i wygaśnięcie umowy nie oznacza kresu potencjalnych roszczeń stron (wszakże te ulegają przedawnieniu po upływie określonego czasu), zatem kontrahent powinien mieć prawo przetwarzania danych osobowych także na potrzeby zabezpieczenia się przed problemami, które mogą pojawić się w przyszłości;
orzeczenie Naczelnego Sądu Administracyjnego:
- NSA nie zgodził się z taką wykładnią: ocena, iż przetwarzanie jest niezbędne dla celów administratora wymaga odniesienia do konkretnego stanu faktycznego, którą to okoliczność administrator powinien potrafić wykazać;
- i chociaż prawnie uzasadniony interes nie może być utożsamiany z przywołaniem konkretnej podstawy prawnej (wówczas mówilibyśmy raczej o wykonaniu obowiązku prawnego, art. 6 ust. 1 lit. c) RODO) — wystarczy, iż ten interes nie jest sprzeczny z porządkiem prawnym, tj. jest prawnie dopuszczalny — na tę przesłankę firma wypożyczająca samochody powołać się w tym przypadku nie może;
- sęk w tym, że wprawdzie klient podał swoje dane osobowe dobrowolnie, w momencie wykonania umowy najmu pojazdu pierwotny cel przetwarzania danych został skonsumowany, wówczas skończyła się możliwość przetwarzania danych w związku z wykonaniem umowy (art. 6 ust. 1 lit. b) RODO), a w momencie wystąpienia z żądaniem usunięcia danych odpadła także ew. przesłanka w postaci zgody;
- owszem, przetwarzanie danych w innym celu niż pierwotny jest dopuszczalne, to jednak zmiana celu przetwarzania (tj. zawarcie i wykonanie umowy -> dochodzenie roszczeń) wymaga uwzględnienia m.in. powiązań między oboma celami, kontekstu zebrania danych, charakteru danych i konsekwencji dalszego przetwarzania (art. 6 ust. 4 RODO, motyw 50 RODO);
- w ocenie NSA przetwarzanie pozyskanych danych na potrzeby dochodzenia roszczeń może być oparte na przesłance realizacji prawnie uzasadnionych interesów wynajmującego, jednak tylko do momentu zakończenia umowy i oceny stanu technicznego zwróconego samochodu i wynikającej z tego oceny szkód uzasadniających odpowiedzialność deliktową lub kontraktową;
- skoro jednak żadnych uszkodzeń nie stwierdzono, po wykonaniu umowy prawnie uzasadniony interes polegający na dochodzeniu potencjalnych roszczeń już nie istnieje, a więc nie może być podstawą dalszego przetwarzania danych osobowych klienta;
- co w sumie oznacza, że decyzja była prawidłowa, prawidłowy był też wyrok oddalający skargę na decyzję — zatem NSA oddalił skargę kasacyjną na orzeczenie WSA.
Zamiast komentarza: wynajmujący auta przetwarzał dane osobowe nie tylko w celu dochodzenia roszczeń, ale też obrony przed niesprecyzowanymi (?) żądaniami klienta, który groził pozwem. Jakkolwiek na to patrzeć, takie roszczenia mają swoje terminy przedawnienia (nadpłata czynszu tylko 1 rok, ale przecież problemy można piętrzyć), więc raczej nie powinno być dziwne, że firma chce się skutecznie zabezpieczyć przed takim ryzykiem, w tym także nie usuwając danych klienta. Czy zatem można powiedzieć, że skoro klient dotąd nie wniósł pozwu — acz okres przedawnienia jeszcze nie upłynął — to jego roszczenia są potencjalne, zaś jako takie wykluczają przetwarzanie danych personalnych w oparciu o uzasadniony interes administratora w postaci konieczności skutecznej obrony?
Sądzę, że w tym przypadku PUODO i sądy po prostu zbłądziły (por. „Czy przetwarzanie danych osobowych w celu odparcia potencjalnych roszczeń klienta to przetwarzanie „na zapas”?”).
Tekst Prawnie uzasadniony interes po prawidłowym wykonaniu umowy nie istnieje, więc nie można przetwarzać danych osobowych ex-klienta (wyrok NSA) pojawił się poraz pierwszy w Czasopismo Lege Artis.