2 dni temu
Stan faktyczny
M.P. otrzymał od byłego współpracownika wiadomość zawierającą skan jego dokumentów: dowodu osobistego oraz prawa jazdy. Choć M.P. nie udało się w sposób pewny ustalić, kto i w jakim celu posługuje się skanami jego dokumentów, stwierdził, iż musi to być „D.” sp. z o.o. sp.k. – firma, od której wynajmował kiedyś auto. W związku z tym M.P. wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej: PUODO) skargę domagając się nakazania „D.” sp. z o.o. sp.k. zaprzestania przetwarzania jego danych osobowych, w tym udostępniania ich innym podmiotom, a także ich usunięcia ze wszystkich jej baz danych. „D.” sp. z o.o. sp.k. oświadczyła jednak, iż nie posiada kopii czy skanu dowodu osobistego M.P. Wyjaśniła, iż dysponuje jedynie tymi danymi, które on sam dobrowolnie udostępnił w związku z zawarciem umowy najmu samochodu, a są to: imię, nazwisko, adres, numer dowodu osobistego, numer prawa jazdy, numer telefonu. Dane te są aktualnie przetwarzane w systemie informatycznym przeznaczonym do kompleksowej obsługi wypożyczalni samochodów wyłącznie w celu ewentualnego ustalenia, dochodzenia lub obrony przed roszczeniami związanymi z wynajęciem samochodu, na podstawie art. 6 ust 1 lit. f RODO.
PUODO stwierdził, iż przeprowadzone postępowanie nie wykazało, iż „D.” sp. z o.o. sp.k. lub jej pracownik wykonali kopię/skan dowodu osobistego i prawa jazdy M.P. Jednocześnie jednak organ nakazał „D.” sp. z o.o. sp.k., usunięcie danych osobowych M.P. wskazując, iż z zebranego materiału dowodowego nie wynika, aby któraś ze stron umowy najmu dochodziła jakichkolwiek roszczeń na drodze sądowej. W tych okolicznościach przetwarzanie danych osobowych w celu zabezpieczenia i dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami jest zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych.
Zarzuty skargi
„D.” sp. z o.o. sp.k. wniosła skargę na decyzję PUODO zarzucając jej naruszenie art. 6 ust. 1 lit. f art. 6 ust 1 lit. f RODO w zw. z motywem 4 w zw. z motywem 39 RODO poprzez uznanie, iż brak jest spełnienia przesłanki niezbędności przetwarzania danych do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora. Udostępnianie najemcom mienia należącego do skarżącej może narazić ją na poniesienie straty lub utratę korzyści na skutek działania lub zaniechania najemcy. Konsekwencją tego może być w przyszłości konieczność dochodzenia roszczeń przed sądem powszechnym lub innym organem. Zdaniem skarżącej kryterium niezbędności przetwarzania danych winno być ujmowane w rozsądnych granicach wymuszonych przez potrzeby obrotu gospodarczego i stwarzać możliwość zabezpieczenia jej interesów prawnych jako podmiotu świadczącego odpłatne usługi najmu pojazdów.
Orzeczenie WSA
WSA w Warszawie oddalił skargę. W uzasadnieniu wyroku wyjaśniono, iż podstawa prawna przetwarzania danych osobowych wymieniona w art. 6 ust. 1 lit. f RODO ma zastosowanie w sytuacji, gdy administrator nie posiada zgody osoby, której dane dotyczą, nie istnieje żaden przepis, który mógłby stanowić podstawę do przetwarzania danych osobowych oraz gdy administrator nie może powołać się na realizację umowy. Oparcie przetwarzania danych osobowych na tym przepisie wymaga kumulatywnego spełnienia dwóch przesłanek pozytywnych: musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią; konieczna jest też weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów. Dodatkowo należy ocenić, czy „prawnie uzasadnione interesy” realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane.
W uzasadnieniu wyroku stwierdzono, iż skarżącą nie wykazała, poza koniecznością ochrony ewentualnych roszczeń mogących powstać w przyszłości, innej prawnie uzasadnionej podstawy dalszego przetwarzania w programie komputerowym danych osobowych M.P. W ocenie Sądu art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Z ustaleń faktycznych nie wynika, aby M.P. wystąpił z roszczeniem wobec skarżącej, bądź też, by „D.” sp. z o.o. sp.k. dochodziła jakichkolwiek roszczeń od niego na drodze sądowej. W istocie skarżąca przetwarza więc dane osobowe M.P. wyłącznie „na zapas”, aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami, a takie działanie nie ma podstaw prawnych.
Stanowisko NSA
Naczelny Sąd Administracyjny oddalił skargę kasacyjną „D.” sp. z o.o. sp.k. wyjaśniając, iż kwantyfikatorem rozstrzygającym o dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest charakter relacji istniejącej pomiędzy administratorem danych osobowych a osobą, której dane podlegają przetwarzaniu. o ile z charakteru tej relacji da się racjonalnie wywieść, iż przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie art. 6 ust. 1 lit. f RODO będzie uzasadnione, chyba iż interesy lub podstawowe prawa i wolności osoby, której przetwarzane dane dotyczą będę nadrzędne wobec interesu administratora. Dane osobowe M.P. zostały pozyskane i przetwarzane w związku z zawarciem umowy najmu samochodu osobowego. Jednak z chwilą zakończenia tej umowy, czyli jej wykonania, odpadła podstawa przetwarzania z art. 6 ust. 1 lit b RODO, a z momentem skierowania do „D.” sp. z o.o. sp.k. pisma wzywającego do zaniechania dalszego przetwarzania danych osobowych podstawy takiej nie może stanowić również art. 6 ust. 1 lit. a RODO.
NSA zaznaczył, iż choć pierwotny cel przetwarzania danych osobowych został skonsumowany, to nie można z góry oceniać ich dalszego przetwarzania jako nieuprawnione. Z motywu 50 preambuły RODO wynika bowiem, iż przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Ocena zgodności tych celów wymaga zgodnie z art. 6 ust. 4 RODO uwzględnienia między innymi: powiązań pomiędzy tymi celami; kontekstu, w którym dane osobowe zostały zebrane; charakteru danych osobowych; konsekwencji zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; istnienie odpowiednich zabezpieczeń zarówno podczas pierwotnej, jak i zamierzonej operacji dalszego przetwarzania. Dlatego należy uznać, iż przetwarzanie danych osobowych uzyskanych w procesie zawarcia i wykonania umowy, w celu zabezpieczenia uzasadnionych prawnych interesów administratora oraz drugiej strony umowy na wypadek ewentualnego postępowania sądowego w przedmiocie dochodzenia roszczeń z tytułu umowy najmu samochodu może mieć podstawę w treści art. 6 ust. 1 lit. f RODO.
Jednocześnie NSA wskazał, iż najważniejsze znaczenie ma fakt, iż z chwilą zakończenia umowy najmu dochodzi do dość jednoznacznego ustalenia okoliczności faktycznych związanych ze stanem technicznym zwracanego pojazdu, które mogą być podstawą roszczeń wynajmującej spółki względem osoby najemcy. Oznacza to, iż ewentualne roszczenia firmy wynajmującej samochód są najpóźniej znane w dniu zwrotu auta lub w bardzo krótkim czasie po jego zwrocie po sprawdzeniu jego stanu technicznego. W konsekwencji należy uznać, iż przetwarzanie danych osobowych M.P. na podstawie art. 6 ust. 1 lit. f RODO mogło mieć miejsce w krótkim okresie po wykonaniu umowy najmu samochodu, w którym mogły zostać ujawnione szkody w wynajętym aucie i stwierdzono by istnienie podstaw odpowiedzialności kontraktowej lub deliktowej najemcy. Natomiast niestwierdzenie ich po zakończeniu umowy i zwrocie przedmiotu najmu oznacza, iż umowa została wykonana prawidłowo i odpada podstawa dalszego legalnego przetwarzania danych osobowych najemcy auta w oparciu o art. 6 ust. 1 lit. f RODO. NSA zaznaczył przy tym, iż termin przedawnienia wynajmującego względem najemcy, o którym mowa w art. 677 KC, minął już w chwili wydawania decyzji Prezesa UODO.
Wyrok NSA z 5.2.2025 r., III OSK 6553/21, Legalis
