UODO nakazuje firmom kasować informacje o klientach po rozwiązaniu umowy. Coraz częściej jednak sędziowie uchylają te decyzje.
Byli lub niedoszli klienci coraz częściej domagają się od firm wykasowania ich danych. Prezes Urzędu Ochrony Danych Osobowych konsekwentnie uważa, że mają do tego prawo. W pierwszym półroczu 2022 r. wydał siedem decyzji nakazujących usunięcie danych. Spora część z nich jest jednak zaskarżana do sądu. Rozstrzygnięcie zależy od tego, na jaki skład orzekający się trafi. Jedne uznają bowiem, że nie można przetwarzać danych tylko z tego powodu, że w przyszłości mogłyby być niezbędne w ewentualnym sporze prawnym, inne dochodzą do dokładnie odwrotnych wniosków. Najnowszy wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie wpisuje się w ten drugi trend. Stwierdzono w nim jednoznacznie, że przechowywanie danych w celu obrony przed ewentualnymi roszczeniami jest uzasadnione i wbrew stanowisku UODO nie oznacza ich przetwarzania na zapas.
Różne interpretacje
Istota problemu sprowadza się do różnic w interpretacji art. 6 ust. 1 lit. c i f RODO. Przepis ten pozwala bez zgody zainteresowanego przetwarzać jego dane, jeśli jest to niezbędne do wypełnienia obowiązku prawnego lub do celów wynikających z jego prawnie uzasadnionych interesów (patrz: ramka). Przedsiębiorcy uważają, że także po realizacji czy rozwiązaniu umowy mają prawo przechowywać dane klientów na wypadek ewentualnego sporu prawnego. Zarówno gdyby to oni mieli roszczenia wobec klienta, jak i klient wobec nich. Choćby na wypadek zwykłej reklamacji. UODO uważa to jednak za niedopuszczalne. Jego zdaniem nie można przechowywać danych na wszelki wypadek. A skoro nie ma uzasadnionych powodów, by przewidywać spór prawny, to nie ma również uzasadnionego interesu.
Tej samej argumentacji prezes UODO użył w decyzji udzielającej nagany firmie, która przechowywała dane kandydatki do pracy. Kobieta nie przeszła rekrutacji. Niedoszły pracodawca uważał, że ma prawo przechowywać jej dane na wypadek ewentualnych roszczeń związanych z naruszeniem zasad równego traktowania w zatrudnieniu. Powołał się na uzasadniony interes. Prezes UODO stwierdził jednak brak podstawy prawnej, uznając, że dane są przetwarzane na zapas, choć nie ma jakiejkolwiek pewności, że kandydatka do pracy wytoczy proces firmie.
Sąd uchylił tę decyzję (orzeczenie opisaliśmy w tekście „Dane kandydatów na trzy lata”, 6 września 2022 r.). Choć sprawa dotyczyła spraw pracowniczych, to argumentację wskazaną w uzasadnieniu tego wyroku można równie dobrze zastosować do relacji klient - przedsiębiorca.
„Skarżąca ma interes prawny, w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych Wnioskodawczyni w celu obrony przed roszczeniami tak Wnioskodawczyni, jak i innych osób, które uczestniczyły w procesie rekrutacji, a które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń ze stosunku pracy” - uznał sąd w wyroku z 4 sierpnia 2022 r. (sygn. akt II SA/Wa 542/22).
UODO nie podjął jeszcze decyzji w sprawie tego rozstrzygnięcia. Złożył natomiast skargi kasacyjne od innych niekorzystnych dla siebie wyroków. W jednym z nich WSA w Warszawie uznał, że Biuro Informacji Kredytowej oraz bank mieli prawo przechowywać dane zawarte we wniosku kredytowym do upływu terminu przedawnienia ewentualnych roszczeń.
„BIK zostałby zmuszony do usunięcia danych osobowych, które wciąż mogą okazać się niezbędne do realizacji prawa do obrony strony skarżącej przed sądem, w przypadku wystąpienia z roszczeniami przed terminem przedawnienia” - można przeczytać w uzasadnieniu wyroku z 29 października 2021 r. (II SA/Wa 506/21).
UODO w swej skardze kwestionuje to podejście. Zwraca uwagę, że czym innym byłoby przechowywanie danych w związku z już wysuniętym roszczeniem, a czym innym jest trzymanie ich tylko na wszelki wypadek, gdyby niedoszły kredytobiorca zdecydował się takie roszczenie wysunąć. W tym drugim przypadku mowa o sytuacji przyszłej, niepewnej.
„Podkreślenia wymaga, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem” - można przeczytać w skardze.
Orzecznicza loteria
Rozstrzygnięcie sprawy przez NSA da szanse na ujednolicenie orzecznictwa. Dziś jest ono mocno rozbieżne, a wyrok zależy od tego, na jaki skład orzekający się trafi. Zdarzały się nawet sytuacje, że ci sami sędziowie raz orzekali po myśli przedsiębiorców, drugim zaś razem przyznawali rację UODO. W praktyce jest to więc swego rodzaju loteria.
Argumenty UODO sąd podzielił m.in. w wyrokach z 11 marca 2021 r. (II SA/Wa 1340/20), 13 stycznia 2021 r. (II SA/Wa 607/20) czy 23 lutego 2022 r. (II SA/Wa 1128/21), w których stwierdził, że firmy przetwarzały dane osobowe „na zapas”, a przesłanka z art. 6 ust. 1 lit. f RODO dotyczy wyłącznie sytuacji już istniejących. Innymi słowy, jeśli przedsiębiorca jest już w sporze z klientem, to może przetwarzać jego dane. Nie wolno mu tego natomiast robić, jeśli chce się jedynie zabezpieczyć przed ewentualnymi, hipotetycznymi sporami.
Argumenty przedsiębiorców, poza wskazanym wyżej wyrokiem zaskarżonym przez UODO, sądy uwzględniły m.in. w orzeczeniach z: 28 września 2021 r. (II SA/Wa 474/21), 10 listopada 2021 r. (II SA/Wa 868/21), 13 grudnia 2021 r. (II SA/Wa 1528/21), 31 marca 2022 r. (II SA/Wa 3561/21).
Doktor habilitowany Arwid Mednis z kancelarii Kobylańska Lewoszewski Mednis, który reprezentował klientów w kilku z tych spraw, uważa, że stanowisko UODO (oraz niektórych sądów) nie tylko jest błędne, ale pozbawia przedsiębiorców prawa do obrony.
- W jednym z wyroków stwierdzono, że nie stanowi to problemu, bo jeśli przedsiębiorca usunie dane konsumenta, a ten ostatni zgłosi się później z jakimś roszczeniem, to przecież - jak mówi sąd - ponownie poda swoje dane i na tej podstawie przedsiębiorca będzie mógł zweryfikować zasadność roszczenia. Tylko skąd przedsiębiorca ma wiedzieć, czy to w ogóle był jego klient, skoro został zmuszony do usunięcia wszystkich jego danych? Można sobie wyobrazić fikcyjne roszczenia, których prawidłowości przedsiębiorca nie będzie w stanie zweryfikować - przekonuje. ©℗
/>