Logo biura

Infolinia Urzędu 606-950-000

Infolinia Urzędu 606-950-000

Godło białoczarny orzeł

PREZES
URZĘDU OCHRONY
DANYCH OSOBOWYCH

Warszawa, dnia 24 grudnia 2019 r.

DECYZJA

ZKE.440.57.2019

Na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.) oraz na podstawie art. 160 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w związku z art.  12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) oraz art. 6 ust. 1 lit. f) i art. 57 ust. 1 pkt a) i f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana A. W., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Kancelarię Prawną H. Sp. k. oraz W. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

UZASADNIENIE

Do Prezesa Urzędu Ochrony Danych Osobowych (poprzednio: Generalnego Inspektora Ochrony Danych Osobowych) wpłynęła skarga  Pana A. W. (zwanego dalej: Skarżącym), na nieprawidłowości w procesie przetwarzania jego danych osobowych Kancelarię Prawną H. Sp. k. (zwaną dalej także: Kancelarią) oraz przez W. Sp. z o.o. (zwaną dalej także: Spółką).

Skarżący w treści skargi wskazał, że Kancelaria oraz Spółka przetwarzają jego dane osobowe bez usprawiedliwionych celów ich przetwarzania, ani żadnego innego uzasadnienia na gruncie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W związku z powyższym, Skarżący wniósł o podjęcie przez organ ochrony danych działań zmierzających do zaprzestania przetwarzania  jego danych osobowych przez ww. podmioty. Jednocześnie Skarżący wskazał, iż zwrócił się z tożsamym wnioskiem bezpośrednio do Spółki oraz Kancelarii, jednak te odniosły się negatywnie do tak sformułowanego żądania.

W toku postępowania wyjaśniającego przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

  1. Przedmiotem działalności Spółki W. Sp. z o.o. (KRS nr […]), wobec której Skarżący skierował swoją skargę, jest m.in. działalność prawnicza, rachunkowo – księgowa i doradztwo podatkowe, pozostała finansowa działalność usługowa z wyłączeniem ubezpieczeń i funduszów emerytalnych oraz pozostałe pośrednictwo pieniężne. 
  2. W drodze umowy przelewu wierzytelności z dnia […] grudnia 2014 r., Spółka nabyła wierzytelność wobec Pana W. K., wynikającą z umowy pożyczki nr […] z dnia […] czerwca 2013 r., zawartej pomiędzy wyżej wymienionym a Spółdzielczą Kasą […]
  3. W celu wyegzekwowania nieuregulowanego długu, Spółka na podstawie umowy z dnia  […] grudnia 2013 r. o świadczenie usług prawnych zleciła Kancelarii Prawnej H. Sp. k. świadczenie obsługi prawnej w zakresie dochodzenia należności od dłużników Spółki, tak na drodze sądowej, jak i egzekucyjnej oraz czynności świadczenia pomocy prawnej na rzecz Spółki. Jednocześnie Spółka, jako administrator danych osobowych w rozumieniu ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, zgodnie z art. 31 tejże ustawy, powierzyła Kancelarii przetwarzanie danych osobowych jej dłużników.
  4. Z uwagi na fakt, że Pan W. K. (zwany dalej także: Spadkodawcą) zmarł dnia […] lipca 2013 r. nie regulując zobowiązań wynikających z umowy pożyczki […], Spółka zyskała uprawnienie do dochodzenia spłaty zadłużenia Spadkodawcy od jego następców prawnych. W związku powyższym, w dniu […]  lutego 2015 r. Spółka wystąpiła do MSWiA Centrum Personalizacji Dokumentów z wnioskiem o udostępnienie z rejestru PESEL danych osób, które zgodnie z Kodeksem cywilnym należą do I lub II kręgu dziedziczenia po Spadkodawcy, tj.: dzieci, małżonka, rodziców i rodzeństwa dłużnika, z uwzględnieniem ich imion i nazwisk, stopnia pokrewieństwa ze Spadkodawcą oraz ostatniego znanego miejsca zameldowania.
  5. Na podstawie informacji udzielonych przez Centrum Personalizacji Dokumentów MSWiA Wydziału Udostępniania Danych, Spółka pozyskała w dniu […]  października 2015 r. dane osobowe Pani M. W. (siostry Spadkodawcy), do której to skierowała w dniu […]  marca 2016 r. przedsądowe wezwanie do zapłaty zaległości wynikających z umowy pożyczki  nr […]. W odpowiedzi na powyższe, Pani M. W. poinformowała pisemnie Spółkę o fakcie złożenia oświadczenia w przedmiocie odrzucenia spadku po zmarłym W. K. (data wpływu pisma do Spółki – […]  maja 2016 r.), na potwierdzenie czego przedłożyła również kopię aktu notarialnego z dnia […]  maja 2016 r. (Rep. […]), zawierającego ww. oświadczenie, a nadto oświadczenia o tożsamej treści złożone przez innych spadkobierców, w tym m.in. przez Skarżącego (siostrzeńca Spadkodawcy). Tym sposobem Spółka pozyskała dane Skarżącego w zakresie jego imienia i nazwiska, imion rodziców, numeru PESEL, adresu zamieszkania oraz serii i numeru dowodu osobistego.
  6. Pismem z dnia […]  lipca 2016 r. Kancelaria, działając w imieniu Spółki zawiadomiła Skarżącego o przetwarzaniu jego danych osobowych w związku z dochodzeniem roszczeń przysługujących Spółce względem spadkobierców zmarłego dłużnika. Zgodnie z treścią skierowanej do Skarżącego korespondencji, Spółka przetwarzała dane Skarżącego w celu zarządzania wierzytelnością wynikającą z umowy pożyczki nr […] oraz określenia osób odpowiedzialnych za długi spadkowe po zmarłym W. K.
  7. W odpowiedzi na powyższe, pismem z dnia […]  sierpnia 2016 r. (z datą wpływu do Kancelarii – […]  września 2016 r.) Skarżący zawiadomił Spółkę o skutecznym odrzuceniu spadku oraz wyraził sprzeciw wobec przetwarzania jego danych osobowych przez Spółkę bądź przekazywania ich innym podmiotom.
  8. Pismem z dnia […]  września 2016 r. Kancelaria poinformowała Skarżącego, że pomimo odrzucenia przez niego spadku wciąż istnieją podstawy do przetwarzania jego danych osobowych. W szczególności ww. wskazała, iż cyt. „fakt, że [Skarżący] złożył skuteczne oświadczenie o odrzuceniu spadku po zmarłym wujku – dłużniku W., nie jest równoznaczny z tym, że wierzyciel nie ma prawnie usprawiedliwionego celu przetwarzania danych osobowych [Skarżącego]. Cel ten jest aktualny dopóty, dopóki spadkobiercy W. K. nie zostaną ustaleni. W procesie ustaleń spadkowych wierzyciel musi dysponować danymi wszystkich osób, które wchodzą w krąg spadkobierców ustawowych po spadkodawcy, także tych, które spadek odrzuciły (…) bowiem są traktowane tak, jakby nie dożyły spadku, co powoduje, że na ich miejsce wchodzą dalsi spadkobiercy.” Wyjaśniono nadto, że gdy dojdzie do ustalenia osób odpowiedzialnych za zwrot długu spadkowego lub do spłaty zadłużenia, lub też gdy wierzyciel podejmie decyzję o rezygnacji z dochodzenia roszczeń względem dziedziczących spadek, dane osobowe Skarżącego zostaną niezwłocznie usunięte. Spółka wskazała również, iż podstawę pozyskania i przetwarzania danych osobowych Skarżącego stanowił art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 922 § 1, art. 932 § 4 i 5 i art. 720 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny, zaś w przypadku Kancelarii – art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
  9. Aktualnie, wobec rezygnacji z dochodzenia zadłużenia wynikającego z umowy pożyczki  nr […] z dnia […] czerwca 2013 r., Kancelaria oraz Spółka przetwarzają dane osobowe Skarżącego w zakresie: imienia, nazwiska, imion rodziców, serii i numeru dowodu osobistego, numeru PESEL oraz adresu zamieszkania wyłącznie w celu realizowanym  w ramach prawnie uzasadnionego interesu administratora, tj. w celu obrony przed ewentualnymi roszczeniami, m.in. w związku z postępowaniem prowadzonym w niniejszej sprawie przez Prezesa Urzędu Ochrony Danych Osobowych. Podstawę przetwarzania danych osobowych Skarżącego stanowi obecnie art. 6 ust. 1 lit. f Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

W tym stanie faktycznym, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Wskazać należy, że z dniem wejścia w życie ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwanej dalej także: „u.o.d.o.”, tj. 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są obecnie przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r., poz. 922 ze zm.), zwanej dalej także: „ustawą 1997”, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.). Wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127  z 23.05.2018 r. str. 2.), zwane dalej „Rozporządzeniem 2016/679”.

Stosownie do art. 57 ust. 1 Rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na mocy rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje  i egzekwuje jego stosowanie (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie  tych skarg i w rozsądnym terminie informuje skarżącego o postępach oraz wynikach  tych postępowań (lit. f).

Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy  z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych). Wynikający z przepisów prawa sposób prowadzenia postępowań w sprawach rozpoczętych i niezakończonych przed dniem wejścia w życie nowych regulacji z zakresu ochrony danych osobowych koreluje z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną  na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012).

Uwzględniając powyższe, Prezes Urzędu Ochrony Danych Osobowych dokonał na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego oceny legalności przetwarzania danych osobowych Skarżącego. Skarżący wnosił bowiem o usunięcie jego danych osobowych przetwarzanych przez Spółkę oraz działającą w imieniu Spółki Kancelarię, a zatem w postępowaniu należało ustalić czy istnieją przesłanki do dalszego przetwarzania danych osobowych Skarżącego przez ww. podmioty.

W świetle przepisów Rozporządzenia 2016/679, przetwarzanie danych osobowych jest  zgodne z prawem, gdy spełniona zostanie którakolwiek z przesłanek wymienionych w art. 6 ust. 1 Rozporządzenia 2016/679 (stanowiącym odpowiednik obowiązującego do dnia 25 maja 2018 r.  art. 23 ust. 1 ustawy 1997), tj. gdy:

  1. osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów (analogicznie w art. 23 ust. 1 pkt 1 ustawy 1997);
  2. przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (analogicznie w art. 23 ust. 1 pkt 3 ustawy 1997);
  3. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (analogicznie w art. 23 ust. 1 pkt 2 ustawy 1997);
  4. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą,  lub innej osoby fizycznej;
  5. przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym  lub w ramach sprawowania władzy publicznej powierzonej administratorowi (analogicznie w art. 23 ust. 1 pkt 4 ustawy 1997) bądź wreszcie;

przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (analogicznie w art. 23 ust. 1 pkt 5 ustawy 1997). Przesłanki te odnoszą się do wszelkich form przetwarzania danych oraz są względem siebie równoprawne, co oznacza, że dla legalności procesu przetwarzania danych wystarczające jest spełnienie jednej z nich.

Odnosząc się do przedmiotu niniejszej sprawy – którym jest przetwarzanie przez Spółkę danych osobowych Skarżącego, pozyskanych w związku z nabyciem wierzytelności względem zmarłego Spadkodawcy Skarżącego – należy wyjaśnić, że przy dochodzeniu roszczeń jedną z przesłanek dopuszczalności przetwarzania danych osobowych jest realizacja prawnie uzasadnionych interesów administratora (przesłanka o której mowa w art. 6 ust. 1 lit. f Rozporządzenia 2016/679, a przed dniem 25 maja 2018r. – w art. 23 ust. ust. 1 pkt 5 ustawy 1997). Przetwarzanie danych osobowych jest w takim przypadku prawnie dopuszczalne i nie jest do niego potrzebna zgoda osoby, której dane dotyczą. Dlatego też nieskuteczne będą próby wycofania zgody przez dłużnika, gdyż to nie ona jest podstawą uprawniającą administratora do przetwarzania jego danych osobowych. Wierzyciele mogą dochodzić spłaty zadłużenia samodzielnie lub korzystać w tym celu z pośrednictwa wyspecjalizowanych firm. Mogą też sprzedać dług innemu podmiotowi – jak miało to miejsce  w sprawie niniejszej, albowiem Spółka nabyła roszczenie względem W. K. w drodze umowy przelewu wierzytelności od pierwotnego wierzyciela Spadkodawcy, którym była Spółdzielcza Kasa […]. W przypadku sprzedaży wierzytelności firma windykacyjna, która nabyła wierzytelność, staje się administratorem danych osobowych dłużników i zobowiązana jest do przestrzegania obowiązków wynikających z Rozporządzenia 2016/679. Powinna ona zatem poinformować dłużników, wobec których prowadzone są działania windykacyjnie m.in. o podstawie prawnej i celu przetwarzania ich danych osobowych oraz o przysługujących im prawach dostępu do treści swoich danych oraz możliwości ich poprawiania. Z kolei w sytuacji, w której windykacja wierzytelności została zlecona innemu podmiotowi na zasadzie wykonania usługi w tym zakresie (w przedmiotowej sprawie podmiotem takim jest Kancelaria), administrator danych powinien zawrzeć z nim umowę powierzenia przetwarzania danych osobowych, o której mowa w art. 28 Rozporządzenia 2016/679 (uprzednio – w art. 31 ustawy 1997). Umowa taka powinna określać m.in.: przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych oraz kategorie osób, których one dotyczą, a także prawa i obowiązki zarówno administratora, jak i podmiotu, któremu powierzono przetwarzanie danych.

Jak wykazało przeprowadzone postępowanie administracyjne, Spółka oraz świadcząca na jej rzecz usługi prawne Kancelaria spełniały warunki, od których uzależnione jest uznanie legalności przetwarzania danych osobowych Skarżącego zarówno w chwili pozyskania jego danych osobowych, jak i w dacie wydania decyzji kończącej niniejsze postepowanie.

Wskazać należy, że pozyskanie danych osobowych Skarżącego przez Spółkę nastąpiło w dniu  […]  maja 2016 r., a zatem jeszcze w okresie obowiązywania uprzedniej regulacji prawnej  z zakresu ochrony danych. Podstawę prawną przetwarzania danych osobowych Skarżącego w zakresie: imienia, nazwiska, imion rodziców, serii i numeru dowodu osobistego, numeru PESEL oraz adresu zamieszkania stanowił art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 ustawy 1997 albowiem przetwarzanie to było niezbędne dla realizacji prawnie uzasadnionego interesu Spółki  – wyrażającego się w dochodzeniu spłaty zadłużenia po zmarłym W. K. od jego następców prawnych. Możliwość taką przewiduje art. 922 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2019 r., poz. 1145), zwanej dalej: „K.c.”, zgodnie z którym prawa i obowiązki majątkowe zmarłego przechodzą z chwilą jego śmierci na jedną lub kilka osób (…). Należy przy tym zważyć, że spadkobierca, który spadek odrzucił, zostaje wyłączony od dziedziczenia tak, jakby nie dożył otwarcia spadku (art. 1020 K.c.), z kolei jeżeli którekolwiek z rodzeństwa spadkodawcy nie dożyło otwarcia spadku pozostawiając zstępnych, udział spadkowy, który by mu przypadał, przypada jego zstępnym (art. 932 § 5 K.c.). Powyższe – przy uwzględnieniu opisanych  na wstępie okoliczności faktycznych niniejszej sprawy – uzasadnia zdaniem Prezesa Urzędu Ochrony Danych Osobowych przetwarzanie danych Skarżącego przez Spółkę.

Jednocześnie, jak wykazało postępowanie, nawet skuteczne odrzucenie przez Skarżącego spadku po Spadkodawcy nie znosi prawnie usprawiedliwionego celu przetwarzania jego danych osobowych przez Spółkę, gdyż do czasu ustalenia dalszej kolejności dziedziczenia, przetwarzanie jego danych jest prawnie uzasadnione – aż do czasu uzyskania przez wierzyciela (w tym wypadku Spółkę) postanowienia o stwierdzeniu nabycia spadku lub do momentu spłaty zadłużenia. W tym miejscu przytoczyć należy także stanowisko Naczelnego Sądu Administracyjnego, który w wyroku z dnia 6 czerwca 2005 r. (sygn. akt I OPS 2/05) uznał, że prawnie usprawiedliwiony cel administratora danych, o którym mowa w art. 23 ust. 1 pkt 5 ustawy, może być oparty na przepisach prawa cywilnego. Jak słusznie wskazał NSA, za taki prawnie usprawiedliwiony cel już sama ustawa 1997 uznaje dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Odnosząc się natomiast do żądania usunięcia przez Kancelarię danych osobowych Skarżącego należy zauważyć, że w przedmiotowej sprawie Kancelaria nie była w momencie ich pozyskania administratorem danych, lecz podmiotem, któremu Spóła zleciła ich przetwarzanie na podstawie umowy o świadczenie usług prawnych z dnia […] grudnia 2013 r. Kancelaria przetwarzała dane osobowe Skarżącego wyłącznie na podstawie i w celach wskazanych w ww. umowie, tj. w celu dochodzenia należności od dłużników Spółki na drodze sądowej i egzekucyjnej. Podstawą prawną działania Kancelarii był art. 31 ustawy z 1997 r. Przepis ten stanowił, że administrator może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1), natomiast podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2), a przed rozpoczęciem przetwarzania danych zobowiązany jest podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36–39 oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (ust. 3). Cechą charakterystyczną umowy powierzenia jest to, że administrator danych nie musi osobiście wykonywać czynności związanych  z przetwarzaniem danych osobowych. Może w tym celu skorzystać z usług wyspecjalizowanych podmiotów zewnętrznych, zlecając im wykonywanie w tym zakresie bądź całego procesu przetwarzania danych osobowych, bądź tylko pewnych czynności, np. samego ich zbierania czy przechowywania. W sytuacji przekazania danych osobowych mamy do czynienia z przetwarzaniem danych w imieniu administratora, w granicach wskazanych w umowie powierzenia przetwarzania danych i nie w celach własnych procesora, lecz dla realizacji celów administratora danych. Co istotne, przy powierzeniu przetwarzania danych osobowych nie dochodzi do zmiany ich administratora. Tym samym to Spółka była faktycznie administratorem danych osobowych Skarżącego, zaś Kancelaria wykonywała na jej rzecz i w jej imieniu czynności zlecone na mocy zawartej ze Spółką umowy  o współpracy.

Odnosząc się natomiast do stanu istniejącego w chwili obecnej, należy wyjaśnić, iż wobec rezygnacji z dochodzenia zadłużenia wynikającego z umowy pożyczki nr […] z dnia  […]  czerwca 2013 r., Kancelaria oraz Spółka przetwarzają dane osobowe Skarżącego wyłącznie w celu realizowanym w ramach prawnie uzasadnionego interesu administratora, tj. w celu obrony przed ewentualnymi roszczeniami, m.in. w związku z postępowaniem prowadzonym w niniejszej sprawie przez Prezesa Urzędu Ochrony Danych Osobowych. Podstawę przetwarzania danych osobowych Skarżącego stanowi tym samym art. 6 ust. 1 lit. f Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE. Wobec stwierdzenia istnienia przesłanki legalizującej przetwarzanie danych osobowych Skarżącego, zarzuty podnoszone przez niego w skardze należy zatem uznać  za bezzasadne.

W związku z poczynionymi ustaleniami wskazać należy, że dalsze prowadzenie przez Prezesa Ochrony Danych Osobowych postępowania administracyjnego, zainicjowanego skargą  na nieprawidłowości w przetwarzaniu danych osobowych Skarżącego przez Spółkę oraz Kancelarię, ukierunkowanego na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy 1997  jest niezasadne.

Stosownie do brzmienia ww. przepisu, w przypadku naruszenia przepisów  o ochronie danych osobowych Prezes Urzędu Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego  z prawem, a w szczególności: usunięcie uchybień (1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (4), zabezpieczenie danych lub przekazanie ich innym podmiotom (5) lub usunięcie danych osobowych (6). Z brzmienia art. 18 ust. 1 ustawy 1997, a zarazem z definicji decyzji administracyjnej – jako aktu rozstrzygającego w sposób władczy o prawach i obowiązkach stron postępowania w ustalonym i aktualnym na chwilę jego wydania stanie faktycznym i prawnym – wynika, że organ ochrony danych osobowych nie dokonuje oceny zdarzeń przeszłych, nie kontynuowanych w chwili orzekania. Decyzja wydawana przez organ nadzorczy jest bowiem instrumentem służącym przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych, realizowanym w chwili jej wydania.

Biorąc pod uwagę powyższe, należy stwierdzić, iż obecnie nie ma podstaw dla sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy, albowiem dane osobowe Skarżącego przetwarzane są przez podmioty, których skarga dotyczy w sposób zgodny z obowiązującymi przepisami prawa, a nadto przetwarzanie to nie wymaga zgody Skarżącego. Z uwagi na powyższe, postępowanie administracyjne w niniejszej sprawie należało zakończyć decyzją o odmowie uwzględnienia wniosku Skarżącego.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od decyzji przysługuje stronie prawo do wniesienia wniosku  o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona  nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo  do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie  w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.

2021-03-29 Metadane artykułu
Podmiot udostępniający: Departament Kar i Egzekucji
Wytworzył informację: Jan Nowak 2019-12-24
Wprowadził‚ informację: Anna Pachla 2021-03-29 19:15:06
Ostatnio modyfikował: Edyta Madziar 2021-04-15 12:51:49