Bank uznał, że będzie przetwarzał dane osobowe byłej klientki przez okres dziesięciu lat od dnia wygaśnięcia ostatniego ze zobowiązań. Żadna ze stron nie wystąpiła jednak z jakimikolwiek roszczeniami i nie planowała tego zrobić. Wojewódzki Sąd Administracyjny w Warszawie wskazał, że przetwarzanie danych osobowych w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami jest zbędne i niezgodne z obowiązującymi przepisami.
Anna M. (dane zmienione) wycofała zgody na jakiekolwiek wykorzystywanie jej danych osobowych przez bank. Po miesiącu od złożenia tej dyspozycji, otrzymała wiadomość sms o charakterze marketingowym. Wobec powyższego złożyła do Prezesa Urzędu Ochrony Danych Osobowych skargę, w której wskazała, że bank bezpodstawnie przetwarza jej dane osobowe.
Bank zasłonił się ustaleniem, obroną i dochodzeniem roszczeń
Ustosunkowując się do skargi, bank wskazał, że pozyskał dane osobowe Anny M. bezpośrednio od niej w związku z zawarciem w 2014 r. umowy o kartę kredytową i umowy kredytu. Wyjaśnił też, że sporne dane są przetwarzane z uwagi na prawnie uzasadnione interesy administratora na podstawie art. 6 ust. 1 lit. f RODO, w celu rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń. Bank zastrzegł, że dane osobowe Anny M. będą przetwarzane przez okres dziesięciu lat od dnia wygaśnięcia ostatniego ze zobowiązań, a więc do 2025 r. W odpowiedzi przyznał też, że przyjął dyspozycję wycofania zgód na otrzymywanie materiałów marketingowych, ale na skutek błędu systemu informatycznego, nie doszło do jej skutecznego zapisania.
Nie można przetwarzać danych „na zapas”
Prezes UODO wskazał, że pomiędzy skarżącą a bankiem wygasły wszystkie stosunki umowne. Tym samym jedyną podstawą przetwarzania danych osobowych było rozpatrywanie reklamacji oraz ustalenie, obrona i dochodzenia roszczeń. Zebrany materiał dowodowy nie wykazał jednak, że bank posiadał wobec skarżącej jakiekolwiek roszczenia związane ze świadczonymi na jej rzecz umowami o usługi bankowe. Anna M. także nie wystąpiła z żadnymi roszczeniami. Mając powyższe na uwadze, organ uznał, że bank przetwarza dane osobowe „na zapas”, by zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami. Przepisy nie dają jednak do tego podstaw. Prezes UODO udzielił więc bankowi upomnienia i nakazał usunięcie danych osobowych skarżącej.
Niepewne roszczenia nie mogły stanowić podstawy
Bank zaskarżył rozstrzygnięcie organu. Sprawą zajął się Wojewódzki Sąd Administracyjny w Warszawie, który wskazał, że nie było podstaw do przetwarzania danych osobowych byłej klientki w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO. Skoro bowiem żadna ze stron nie wystąpiła z jakimikolwiek roszczeniami oraz nie planowała tego zrobić, to trudno uznać, że przetwarzanie danych osobowych było niezbędne do wskazanych przez bank celów. Sąd ocenił, że były one jedynie ewentualne, a cecha ta wyklucza element niezbędności. Wobec powyższego przetwarzanie danych osobowych w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami było zbędne i niezgodne zobowiązującymi przepisami. Mając powyższe na uwadze, WSA oddalił skargę.
Wyrok WSA w Warszawie z 20 grudnia 2022 r., sygn. akt II SA/Wa 1758/22
Podstawa prawna:
- art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U.UE.L z 2016 r., nr 119, poz. 1)