Dane osobowe dłużników a windykacja należności

Przeczytaj także: Dane osobowe dłużników a RODO

Odrębna zgoda niepotrzebna

Informacje na temat zadłużenia osób fizycznych są danymi osobowymi i podlegają ochronie. Podejmowanie czynności windykacyjnych wobec dłużnika wymagających przetwarzania jego danych osobowych, w tym wysyłanie do dłużnika wezwań do zapłaty, nie wymaga odrębnej zgody dłużnika na ich przetwarzanie. Przetwarzanie danych, bez konieczności uzyskiwania zgody osoby zainteresowanej jest dopuszczalne m.in. wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel w rozumieniu tego przepisu uważa się m.in. dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 1 pkt 5 i art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych).

Sprzedaż długów a dane osobowe

Część wierzycieli decyduje się na sprzedaż długów firmom windykacyjnym. Wymaga to oczywiście przekazania nabywcy informacji o danych osobowych dłużnika. Zawarcie umowy przelewu wierzytelności nie wymaga zgody dłużnika (chyba że w umowie z dłużnikiem wprowadzono wymóg uzyskania takiej zgody). Skoro bez zgody dłużnika można sprzedać przysługującą wobec niego wierzytelność, można też przekazać jego dane osobowe nabywcy wierzytelności. W takim przypadku przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczyły i jest uzasadnione prawnie usprawiedliwionym celem realizowanym przez administratora danych.

Powierzenie przetwarzania danych

Jeśli czynności windykacyjne są podejmowane w imieniu wierzyciela przez podmiot zewnętrzny, np. firmę windykacyjną, i w związku z tym następuje przekazanie danych osobowych dłużników temu podmiotowi, należy z nim zawrzeć umowę o powierzenie przetwarzania danych. Administrator danych może powierzyć innemu podmiotowi przetwarzanie danych, w drodze umowy zawartej na piśmie. Pozwala na to art. 31 ustawy o ochronie danych osobowych. W takiej umowie muszą się znaleźć postanowienia dotyczące zakresu danych osobowych (ich rodzaju) i celu przetwarzania danych (do czego są przeznaczone). Podmiot, któremu powierzono przetwarzanie danych, może je wykorzystywać tylko i wyłącznie w zakresie i celu wskazanym w umowie.

Podmiot, któremu powierzono przetwarzanie danych osobowych (np. firma windykacyjna) nie staje się ich administratorem. Administratorem jest nadal podmiot, który powierzył dane do przetwarzania i to on nadal odpowiada za przestrzeganie ustawy o ochronie danych osobowych. Podmiot, któremu powierzono dane do przetwarzania, ma natomiast obowiązki związane z zabezpieczeniem danych i prowadzeniem dokumentacji.

List zwykły czy polecony?

Pisma do dłużników z wezwaniem do zapłaty zawierają dane osobowe, w tym o wysokości zadłużenia konkretnej osoby. Pojawiają się wątpliwości, czy w związku z tym należy je obowiązkowo wysłać listem poleconym, czy też można je wysłać zwykłym listem. Z punktu widzenia ustawy o ochronie danych osobowych wysłanie korespondencji zawierającej dane osobowe dłużnika listem zwykłym jest prawidłowe.

WSA w Warszawie stwierdził, że "nie ma obowiązku przesyłania listami poleconymi korespondencji zawierającej dane osobowe. Generalny Inspektor Ochrony Danych Osobowych, a tym bardziej sąd, nie mogą nakazać tego typu środków, które zabezpieczałyby dane" (wyrok z dnia 17 czerwca 2004 r., sygn. akt II SA/Wa 735/2004). W uzasadnieniu wyroku WSA podkreślił, że z ustawy o ochronie danych osobowych nie wynika, jakie środki zabezpieczenia danych mają być zastosowane i wskazał, że trzeba zapewnić ochronę. Przy czym przesyłka w formie listu zwykłego stanowi taką ochronę.