NSA o granicach przetwarzania danych potencjalnych spadkobierców

Stan faktyczny

Sprawa dotyczyła skargi wniesionej do Prezesa Urzędu Ochrony Danych Osobowych przez osobę, której dane były przetwarzane przez spółkę windykacyjną oraz fundusz sekurytyzacyjny w związku z dochodzeniem wierzytelności po zmarłej dłużniczce. Podmioty te uznały skarżącego za spadkobiercę zmarłej i kierowały wobec niego działania związane z dochodzeniem długu. Skarżący zakwestionował jednak legalność przetwarzania jego danych osobowych oraz wniósł o ich usunięcie.

Jak wynikało z ustaleń Prezesa UODO, fundusz nabył wierzytelność od banku na podstawie umowy cesji, a następnie – po uzyskaniu informacji o śmierci dłużniczki – podjął działania zmierzające do ustalenia kręgu potencjalnych spadkobierców. W toku tych czynności pozyskano m.in. wypis aktu notarialnego obejmującego protokół oświadczenia o przyjęciu spadku wprost złożonego przez skarżącego. Zakres przetwarzanych danych obejmował m.in. imię i nazwisko, numer PESEL, adres zamieszkania oraz dane dokumentu tożsamości. Administratorzy wskazywali, iż podstawą przetwarzania był art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L z 2016 r. Nr 119, s. 1; dalej: RODO), a więc prawnie uzasadniony interes polegający na dochodzeniu wierzytelności.

Prezes UODO nie podzielił tej argumentacji. Organ uznał, iż ani fundusz, ani współpracująca z nim spółka nie dysponowali skuteczną podstawą prawną pozwalającą na przetwarzanie danych osobowych skarżącego w celu windykacji należności. W ocenie Organu samo ustalenie pokrewieństwa ze zmarłą dłużniczką oraz uzyskanie informacji o złożeniu oświadczenia o przyjęciu spadku nie było wystarczające do uznania skarżącego za osobę odpowiedzialną za zobowiązanie.

Prezes UODO podkreślił, iż podmioty prywatne nie posiadają kompetencji do samodzielnego ustalania kręgu spadkobierców. Uprawnienie takie przysługuje wyłącznie sądowi powszechnemu w postępowaniu o stwierdzenie nabycia spadku albo notariuszowi sporządzającemu akt poświadczenia dziedziczenia. Organ zwrócił uwagę, iż dopiero formalne stwierdzenie nabycia spadku usuwa wszelkie wątpliwości co do tego, kto oraz w jakim zakresie odpowiada za zobowiązania spadkowe.

W konsekwencji Prezes UODO nakazał obu podmiotom usunięcie danych osobowych skarżącego na podstawie art. 58 ust. 2 lit. g RODO, uznając, iż brak jest przesłanki legalizującej dalsze przetwarzanie danych.

Rozstrzygnięcie WSA w Warszawie

Decyzja została zaskarżona do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżące podmioty argumentowały, iż zgodnie z przepisami Kodeksu cywilnego prawa i obowiązki majątkowe zmarłego przechodzą na spadkobierców z chwilą śmierci spadkodawcy. Wskazywano, iż nabycie spadku następuje ex lege, zaś postanowienie o stwierdzeniu nabycia spadku ma jedynie charakter deklaratoryjny. Zdaniem skarżących oznaczało to, iż już od chwili śmierci dłużniczki możliwe było kierowanie działań windykacyjnych wobec jej spadkobiercy, a tym samym istniała podstawa do przetwarzania jego danych osobowych.

Podmioty podnosiły również, iż skarżący złożył oświadczenie o przyjęciu spadku wprost, co – ich zdaniem – definitywnie przesądzało o jego statusie jako spadkobiercy. W ocenie skarżących przetwarzanie danych było niezbędne do realizacji uzasadnionego interesu administratora, obejmującego m.in. kierowanie wezwań do zapłaty, prowadzenie postępowań sądowych oraz podejmowanie działań egzekucyjnych.

WSA w Warszawie oddalił jednak skargi i w całości podzielił stanowisko Prezesa UODO. Sąd uznał, iż choć nabycie spadku rzeczywiście następuje z mocy prawa z chwilą śmierci spadkodawcy, to dla potrzeb dochodzenia wierzytelności konieczne jest formalne potwierdzenie statusu spadkobiercy.

Sąd wyraźnie odróżnił cywilnoprawny skutek przejścia praw i obowiązków majątkowych od możliwości legalnego przetwarzania danych osobowych konkretnej osoby. W uzasadnieniu podkreślono, iż „nabycie spadku z mocy prawa w chwili śmierci spadkodawcy jest czym innym od sądowego stwierdzenia nabycia spadku, bez którego wierzyciel nie może egzekwować długu”.

WSA zaakceptował również pogląd Prezesa UODO, zgodnie z którym podmioty prywatne nie są uprawnione do samodzielnego ustalania kręgu spadkobierców. Sąd wskazał, iż w sytuacji braku formalnego potwierdzenia dziedziczenia wierzyciel powinien sam wystąpić do sądu z wnioskiem o stwierdzenie nabycia spadku. Dopiero uzyskanie odpowiedniego rozstrzygnięcia pozwalałoby na legalne kierowanie roszczeń wobec konkretnej osoby i przetwarzanie jej danych osobowych w tym celu.

Co istotne, Sąd uznał, iż choćby protokół notarialny, obejmujący oświadczenie o przyjęciu spadku, nie przesądza jeszcze definitywnie o statusie spadkobiercy. WSA zwrócił uwagę, iż dopiero postępowanie spadkowe pozwala ustalić, czy nie istnieją inne podstawy dziedziczenia, w tym testament wyłączający dziedziczenie ustawowe.

W ocenie Sądu brak formalnego stwierdzenia nabycia spadku oznaczał, iż administratorzy nie wykazali istnienia prawnie uzasadnionego interesu w rozumieniu art. 6 ust. 1 lit. f RODO. Tym samym dalsze przetwarzanie danych osobowych skarżącego było bezprawne.

Wyrok NSA

Stanowisko to zostało następnie potwierdzone przez Naczelny Sąd Administracyjny, który 8.4.2026 r. oddalił skargę kasacyjną. NSA utrzymał tym samym linię orzeczniczą przyjętą przez Prezesa UODO i WSA w Warszawie.

Komentarz