Zleciłem firmie windykacyjnej dochodzenie długów od kontrahentów. Podpisałem z nią umowę o obsługę wierzytelności. Jeden z kontrahentów złożył skargę do generalnego inspektora ochrony danych osobowych, kwestionując m.in. legalność przetwarzania danych osobowych przeze mnie i firmę windykacyjną. Czy rzeczywiście nie mogę przetwarzać jego danych?
Ekspert radzi
W związku z zawarciem kontraktu przez przedsiębiorców obie strony mogą legalnie przetwarzać dane osobowe. Podstawę stanowi art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych (dalej: u.o.d.o.). Zgodnie z nim przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Przepis ten wiąże się ściśle z ust. 4 tego artykułu, który precyzuje, co należy rozumieć przez pojęcie usprawiedliwionego celu. Za taki uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Stosownie zaś do art. 7 pkt 2 u.o.d.o. przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na nich, takie jak: zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.
W powyższej sprawie spór dotyczy także tego, czy art. 23 ust. 1 pkt 5 u.o.d.o. pozwalał przedsiębiorcy (jako administratorowi danych osobowych) na ich przetwarzanie przez udostępnienie innemu podmiotowi bez zgody kontrahenta jego danych osobowych. Udostępnienie danych firmie windykacyjnej oraz ich przetwarzanie przez nią znajduje z kolei uzasadnienie w art. 31 u.o.d.o. Zgodnie z tym przepisem administrator danych może powierzyć przetwarzanie danych innemu podmiotowi w drodze umowy zawartej na piśmie. Powierzenie przetwarzania danych dokonane przez administratora nie wymaga zgody osoby, której dane dotyczą (wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 17 października 2012 r., sygn. akt II SA/Wa 600/12). Zawarcie umowy z firmą windykacyjną nie zmienia tego, że administratorem danych osobowych pozostaje przedsiębiorca (por. wyrok WSA w Warszawie z 16 maja 2013 r., sygn. akt II SA/Wa 911/12).
Ponadto należy podkreślić, że generalny inspektor ochrony danych osobowych nie dokonuje oceny umów cywilnoprawnych, prawidłowości wykonywania kontraktów, nie bada zasadności roszczeń ani wymagalności wierzytelności. Kwestia ta podlega ocenie sądów powszechnych.
Podstawa prawna
Art. 7 pkt 2, art. 23 ust. 1 pkt 5, art. 31 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2014 r. poz. 1182).
