Firmy mają zapomnieć o kliencie zaraz po wykonaniu usługi

Opisany przez DGP problem konieczności kasowania danych klientów po realizacji umowy wzbudził na tyle duże zainteresowanie czytelników, że wystąpiliśmy do sądu administracyjnego z wnioskiem o udostępnienie uzasadnień wyroków, w których przesądzono o takim obowiązku. Przypomnijmy - prezes Urzędu Ochrony Danych Osobowych w swych decyzjach nakazuje usunięcie danych, gdy przedsiębiorcy nie łączy już z konsumentem kontrakt. Sklep internetowy powinien więc usunąć informacje po dostarczeniu towaru, a bank po rozwiązaniu z nim umowy. Przedsiębiorcy uważają natomiast, że mają prawo przechowywać jeśli nie wszystkie, to przynajmniej niektóre dane, na wypadek choćby reklamacji czy innych roszczeń. Bez nich nie będą bowiem mieli argumentów w razie ewentualnego sporu.

Bez gromadzenia „na zapas”

DGP uzyskał uzasadnienia wyroków w dwóch takich sprawach. W pierwszej chodziło o przetwarzanie danych pewnego małżeństwa przez bank w związku z prowadzeniem rachunku. Spór dotyczył informacji marketingowej przesłanej tym klientom. Bank uważał, że miał do tego prawo, gdyż była ona przedstawiona na wyciągu z rachunku (za okres przed zamknięciem przez nich rachunku). Małżeństwo zażądało usunięcia wszystkich swych danych - nie tylko nazwisk, numerów PESEL czy adresu, ale również informacji o posiadanych wcześniej produktach banku czy numerze identyfikacyjnym nadawanym klientom. Bank odmówił, powołując się na art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes „w celu ustalenia, dochodzenia lub obrony przed ewentualnymi roszczeniami wnioskodawców”. Prezes UODO, do którego wpłynęła skarga w tej sprawie, uznał, że przepis ten nie uprawnia do przetwarzania danych na wypadek ewentualnych, niepewnych roszczeń. Wojewódzki Sąd Administracyjny w Warszawie w pełni podzielił tę argumentację. Skoro żadne roszczenia nie zostały jeszcze wysunięte, to nie ma przesłanek do przetwarzania danych.