Dane osobowe przedsiębiorcy c.d.

radca prawny Magdalena Kowalczuk – Szymańska

Kontynuując wątek podjęty we wpisach z dnia 27 lutego i 24 marca, poniżej postaram się udzielić odpowiedzi na zasygnalizowane w nich pytania:

1.    Czy żądanie od przedsiębiorcy – osoby fizycznej jego adresu zamieszkania jest adekwatne do celu przetwarzania danych związanych z wykonaniem umowy łączącej administratora z przedsiębiorcą?

Zasada adekwatności przewidziana jest w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych. Zgodnie z tą zasadą administrator powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne ze względu na cel zbierania danych. To, czy dane są adekwatne do celu ich przetwarzania, oceniane winno być nie później niż w momencie ich zbierania. Wskazuje się, że nie powinno dochodzić do gromadzenia danych „na zapas”, czy „na wszelki wypadek”. Z jednej zatem strony zbieranie danych o adresie zamieszkania na wypadek niezrealizowania przez przedsiębiorcę jego zobowiązania umownego może być postrzegane jako nadmierna ostrożność, wykraczającą poza w/w zasadę adekwatności, z drugiej jednak –  ewentualne postępowanie sądowe służyć ma przecież wyłącznie celowi wyegzekwowania realizacji umowy.

W mojej ocenie zbieranie danych osobowych w postaci adresu zamieszkania przedsiębiorcy, z którym administrator zawiera umowę jest adekwatne do celu, jakim jest realizacja umowy. Skoro bowiem na gruncie przepisów KPC oraz orzecznictwa i praktyki, funkcjonujących na ich tle, podanie adresu zamieszkania pozwanego przedsiębiorcy jest przesłanką konieczną do skutecznego wniesienia pozwu, trudno uznać, że gromadzenie tego rodzaju danych jest nieadekwatne do celu, jakim jest realizacja umowy. Jako przykłady nieadekwatności zbierania danych do celu ich przetwarzania wskazuje się np. zbieranie przez bank danych osobowych klientów w zakresie poprzednich ich adresów zameldowania, kategorii i daty nadania uprawnienia do kierowania pojazdem silnikowym, czy danych zawartych w świadectwie pracy, dotyczących przebiegu zatrudnienia. Nie sposób dopatrzyć się w tych danych adekwatności do celu, jakim jest prowadzenie przez bank działalności bankowej, czy węziej – realizacji konkretnej umowy.

Powyższa konstatacja dotycząca możliwości gromadzenia danych dotyczących adresu zamieszkania wymaga zastrzeżenia, iż administrator nie może oczywiście wykorzystywać tych danych do innych celów, niż związanych z realizacją umowy, chyba, że istnieje odrębna podstawa przetwarzania np. przedsiębiorca udzielił w tym celu stosownej zgody.

2.    Czy gromadzenie danych na potrzeby procesu mieści się w przesłance przetwarzania danych osobowych w związku z realizacją umowy, co pozwala na przetwarzanie danych bez konieczności uzyskiwania zgody przedsiębiorcy?

Zgodnie z przepisem art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych przetwarzanie danych jest dopuszczalne, bez konieczności uzyskiwania stosownej zgody, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną.

Realizacja umowy to wykonanie praw i obowiązków z niej wynikających. Dopóki strony nie wykonają ciążących na nich obowiązków, realizujących niejednokrotnie wzajemne ich prawa, uzasadnione jest twierdzenie, że umowa nie została zrealizowana, a zatem uzasadnione jest przetwarzanie danych osobowych kontrahenta – osoby fizycznej, w tym prowadzącej działalność gospodarczą, aż do uznania danej umowy za wykonaną. Wykonanie jej może zostać wyegzekwowane na drodze postępowania sądowego oraz – stanowiącej jego kontynuację – egzekucji komorniczej. W związku z tym, przesłanka legitymująca przetwarzanie danych osobowych „w związku z realizacją umowy” stanowi podstawę do przetwarzania danych osobowych w celu uzyskania orzeczenia sądowego zmierzającego do realizacji tej umowy, bez konieczności uzyskiwania odrębnej zgody. Przepis art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych stanowiący, iż „przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną” nie dotyczy tylko sytuacji wykonania przez administratora jego obowiązków umownych, ale również uzyskania przez tego administratora świadczenia wzajemnego. Poza tym, istnieją również umowy jednostronnie zobowiązujące, w których to nie administrator danych może być stroną zobowiązaną.

3.    Czy gromadząc dane dotyczące adresu zamieszkania przedsiębiorcy administrator może powołać się na wypełnianie prawnie usprawiedliwionego celu?

Na mocy art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych przetwarzanie danych jest dopuszczalne, bez konieczności uzyskiwania stosownej zgody, gdy „jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą”.

Prawnie usprawiedliwiony cel, o którym mowa powyżej, nie może być utożsamiany z uprawnieniem wynikającym z przepisów ustawy, gdyż prowadziłoby to do kolizji z inną przesłanką uzasadniającą przetwarzanie danych tj. niezbędnością do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych). Wskazuje się, że prawnie usprawiedliwiony cel to cel znajdujący swoje gospodarcze i prawne uzasadnienie w przedmiocie działalności administratora danych osobowych. Można byłoby zatem, traktując te wytyczne bardzo restrykcyjnie, uznać, że tylko podmioty zajmujące się windykacją należności mogłyby przetwarzać adresy zamieszkania dłużników/potencjalnych pozwanych, gdyż przedsiębiorca prowadzący innego rodzaju działalność, chcący wyegzekwować należności od swoich kontrahentów nie prowadzi przecież działalności w zakresie odzyskiwania długów. Taki pogląd jest jednak nieusprawiedliwiony, gdyż czynności „pomocnicze” związane z prowadzeniem danej działalności, składają się na dążenie do prawidłowego funkcjonowania biznesu i zabezpieczenia jego bytu. Są zatem prawnie usprawiedliwionym celem, uzasadniającym przetwarzanie danych osobowych do celów związanych z wyegzekwowania długu. Potwierdzenie powyższego znajduje się w treści art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobliwych, który wprost wskazuje, że prawnie usprawiedliwionym celem jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Z powyższego wynika, że istnieją co najmniej dwie przesłanki legitymujące administratora do przetwarzania adresu zamieszkania przedsiębiorcy – strony umowy z administratorem, przy czym do zgodnego z prawem przetwarzania danych wystarczające jest zaktualizowanie się już jednej podstawy przetwarzania.