ZSPR.440.370.2018

Na podstawie art. 104 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.) oraz na podstawie art. 160 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.) w zw. z art. 18 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), oraz art. 6 ust. 1 lit. f) oraz art. 28 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 ze zm.) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani E. K., na przetwarzanie jej danych osobowych przez A Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

Uzasadnienie

 Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pani E. K., zwanej dalej Skarżącą, reprezentowanej przez adwokata Pana P. B. z Kancelarii […], zwanej dalej Pełnomocnikiem, w sprawie przetwarzania jej danych osobowych przez A. Sp. z o.o., zwaną dalej Spółką i nakazania usunięcia jej danych osobowych z baz danych Spółki.

Skarżąca w treści skargi wskazała, że Spółka przetwarza jej dane osobowe bez usprawiedliwionych celów przetwarzania danych osobowych lub innego uzasadnienia ich przetwarzania na gruncie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), zwanej dalej: uodo 1997. 

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Dnia […] września 2017 r. Skarżąca otrzymała od Spółki pismo wzywające ją, jako osobę należącą do kręgu spadkobierców ustawowych, do spłaty zadłużenia po zmarłym Panu J. D. (bracie Skarżącej).
2. Wierzytelność wobec Pana J. D., (zwanego dalej: Spadkodawcą), wynikająca z umowy pożyczki nr […] z dnia […] maja 2007 r., zawartej przez Spadkodawcę z P., została nabyta przez A, zwaną dalej A, w drodze umowy przelewu wierzytelności z dnia […] marca 2012 r. Wierzytelność wobec Spadkodawcy wynikająca z umowy pożyczki nr […] zawartej przez Spadkodawcę ze Spółdzielczą Kasą […] została nabyta przez A. w drodze umowy przelewu wierzytelności z dnia […] listopada 2014 r. Wierzytelności te zostały nabyte przez Spółkę powierniczo od A. na podstawie umów dotyczących obsługi wierzytelności zawartych dnia […] marca 2012 r. oraz […] listopada 2014 r. (umowy w aktach sprawy).
3. Spółka zleciła w drodze umowy o świadczenie usług prawnych Kancelarii P. […] zwanej dalej: Kancelarią) świadczenie obsługi prawnej w zakresie dochodzenia należności od dłużników Spółki, na drodze sądowej i egzekucyjnej oraz czynności świadczenia pomocy prawnej na rzecz Spółki.
4. Ponieważ Spadkobierca zmarł dnia […] stycznia 2015 r. nie regulując zobowiązań wynikających z umów pożyczki, Spółka zyskała uprawnienie do dochodzenia spłaty zadłużenia Spadkodawcy od jego następców prawnych, w związku z czym […] sierpnia 2016 r. Spółka wystąpiła do MSWiA Centrum Personalizacji Dokumentów z wnioskiem o udostępnienie z rejestru PESEL danych osób, które zgodnie z k.c. należą do I, a w przypadku braku, do II kręgu dziedziczenia, tj.: dzieci, małżonka, rodziców i rodzeństwa dłużnika, z uwzględnieniem żądania imienia i nazwiska spadkobiercy, stopnia pokrewieństwa oraz ostatniego znanego miejsca zamieszkania.
5. Spółka w wyjaśnieniach z […] sierpnia 2018 r. wskazała, że dane osobowe Skarżącej w dniu […] sierpnia 2017 r. zostały pozyskane na podstawie zapytania do Centrum Personalizacji Dokumentów MSWiA Wydziału Udostępniania Danych o osoby należące do kręgu spadkobierców ustawowych Spadkodawcy. Zakres pozyskanych danych obejmował imiona, nazwisko, adres i datę zameldowania na pobyt stały oraz stopień pokrewieństwa Skarżącej ze Spadkodawcą.
6. Dnia […] września 2017 r. A. wystąpił do Skarżącej z pismem informującym o swojej wierzytelności wobec Spadkodawcy oraz o ustaleniu, że Skarżąca należy do kręgu spadkobierców ustawowych po Spadkodawcy, a także o przeniesieniu powierniczym wierzytelności na rzecz Spółki, w której imieniu działa Kancelaria.
7. Dnia […] września 2017 r. Skarżąca, reprezentowana przez Pełnomocnika poinformowała Spółkę o skutecznym odrzuceniu przez nią spadku po Spadkodawcy oraz o swoim sprzeciwie wobec przetwarzania jej danych osobowych przez Spółkę i żądaniu usunięcia tych danych osobowych ze zbiorów i baz danych Spółki oraz podmiotów powiązanych, z których wymieniono A. Dnia […] lutego 2018 r. Skarżąca ponownie poinformowała Spółkę o skutecznym odrzuceniu przez nią oraz jej zstępnych spadku po Spadkodawcy i udostępniła Postanowienie Częściowe Sądu Rejonowego dla Warszawy Pragi-Południe w Warszawie dnia […] marca 2017 r., który postanowił zatwierdzić uchylenie się przez Skarżącą od skutków prawnych pomimo niezachowania terminu do złożenia oświadczenia o odrzuceniu spadku, natomiast odmówiła udostępnienia innej dodatkowej dokumentacji w sprawie.
8. Dnia […] marca 2018 r. Kancelaria poinformowała Skarżącą, że pomimo odrzucenia przez nią spadku istnieją wciąż podstawy do przetwarzania jej danych osobowych, albowiem cyt.: „(…) wierzyciel uprawniony jest do ustalenia kręgu osób zobowiązanych do spłaty długu spadkowego, a żeby wskazać, że dziedziczą osoby należące do dalszego kręgu spadkobierców (oraz żeby ustalić dalszy krąg spadkobierców) trzeba wykazać, że osoby znajdujące się w bliższym kręgu spadkobierców (zatem również E. K.) nie dziedziczą.”

W tym stanie faktycznym, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Wskazać należy, że z dniem wejścia w życie ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 ze zm.), tj. 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, zwanego dalej Prezes UODO, na podstawie uodo 1997 zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej: Kpa. Wszelkie czynności podejmowane przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne. Od 25 maja 2018 r. nie obowiązują już przepisy uodo 1997.

Ponadto wskazać należy, że Prezes UODO wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…) Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071) M. Jaśkowska, A. Wróbel, Lex., el/2012).

W wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 Naczelny Sądu Administracyjny stwierdził, iż „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Prezes UODO, dokonał na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego jedynie oceny przetwarzania danych osobowych Skarżącej, natomiast nie badał kwestii dotyczących dziedziczenia a w szczególności kolejności dziedziczenia. Takie sprawy są bowiem sprawami cywilnymi w rozumieniu art. 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2018 r. poz. 1025, 1104, 1629, 2073), zwanej dalej: K.c. i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. W szczególności, zgodnie z art. 189 K.c. powód może żądać ustalenia przez sąd istnienia lub nieistnienia stosunku prawnego lub prawa, gdy ma w tym interes prawny.

Skarżąca wnosiła o usunięcie jej danych osobowych przetwarzanych przez Spółkę, a zatem należało ocenić w postępowaniu czy istnieją przesłanki do dalszego przetwarzania danych osobowych Skarżącej przez ten podmiot. Przesłanki zgodności z prawem przetwarzania danych osobowych określa art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 ze zm.), zwanego dalej: RODO, i tak zgodnie z lit. f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Jak wykazało przeprowadzone postępowanie administracyjne, Spółka ma przesłanki do przetwarzania danych osobowych Skarżącej.

Podstawą prawną do przetwarzania danych osobowych Skarżącej przez Spółkę w zakresie: imion, nazwiska, adresu i daty zameldowania na pobyt stały oraz stopnia pokrewieństwa Skarżącej ze Spadkodawcą jest prawnie uzasadniony interes Spółki do dochodzenia spłaty zadłużenia Spadkodawcy od jego następców prawnych wynikający z art. 922 § 1 K.c. Przepis ten stanowi, że prawa i obowiązki majątkowe zmarłego przechodzą z chwilą jego śmierci na jedną lub kilka osób stosownie do przepisów księgi niniejszej, z związku z art. 1020 K.c. zgodnie z którym spadkobierca, który spadek odrzucił, zostaje wyłączony od dziedziczenia, tak jakby nie dożył otwarcia spadku, w związku z czym ma zastosowanie art. 932. § 5 K.c., tj. jeżeli którekolwiek z rodzeństwa spadkodawcy nie dożyło otwarcia spadku pozostawiając zstępnych, udział spadkowy, który by mu przypadał, przypada jego zstępnym. Podział tego udziału następuje według zasad, które dotyczą podziału między dalszych zstępnych spadkodawcy. Powyższe wypełnia zatem przesłankę z art. 6 ust. 1 lit. f) RODO.

Jak wykazało postępowanie, nawet skuteczne odrzucenie przez Skarżącą spadku po Spadkodawcy nie wpłynie na prawne usprawiedliwienie celu przetwarzania jej danych osobowych przez Spółkę, gdyż do czasu ustalenia dalszej kolejności dziedziczenia przetwarzanie jej danych jest prawnie uzasadnione do czasu uzyskania przez wierzyciela, w tym wypadku Spółkę, postanowienia o stwierdzeniu nabycia spadku lub spłaty zadłużenia wobec niego. W tym miejscu przytoczyć trzeba także stanowisko orzekającego w składzie 7 sędziów Naczelnego Sądu Administracyjnego, który w wyroku z dnia 6 czerwca 2005 r. (sygn. akt I OPS 2/05) uznał, że prawnie usprawiedliwiony cel administratora danych, o którym mowa w art. 23 ust. 1 pkt 5 ustawy, może być oparty na przepisach prawa cywilnego. Zdaniem NSA za taki prawnie usprawiedliwiony cel już sama ustawa uznaje dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Konkludując powyższe, w ocenie Prezesa UODO, nie ma podstaw do stwierdzenia, iż dane osobowe Skarżącej są przetwarzane przez Spółkę w sposób niezgodny z przepisami RODO, zatem nie zaistniała niezbędna przesłanka do wydania przez Prezesa UODO decyzji nakazującej przywrócenie stanu zgodnego z prawem, tj. usunięcia danych osobowych Skarżącej.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 Kpa od niniejszej decyzji stronie przysługuje prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia doręczenia decyzji stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych.