II SA/Wa 146/25
Podsumowanie
Przejdź do pełnego tekstuWojewódzki Sąd Administracyjny w Warszawie rozpoznał skargę spółki z branży telekomunikacyjnej na decyzję Prezesa Urzędu Ochrony Danych Osobowych (PUODO), który udzielił spółce upomnienia za naruszenie przepisów RODO. Naruszenie polegało na udostępnieniu danych osobowych klienta (imię, nazwisko, PESEL, dane dokumentu tożsamości, adres, e-mail, telefon) funduszowi inwestycyjnemu w związku z cesją wierzytelności. Spółka twierdziła, że dane te były integralną częścią umów cesji numerów telekomunikacyjnych, które z kolei były powiązane z cesją wierzytelności, a ich przekazanie było niezbędne. PUODO uznał, że udostępnienie danych osoby, która nie była dłużnikiem, funduszowi w ramach cesji wierzytelności nie miało podstawy prawnej w RODO, w szczególności w art. 6 ust. 1 lit. f (prawnie uzasadniony interes administratora) ani w innych przesłankach. Sąd administracyjny podzielił stanowisko organu, podkreślając, że cesja wierzytelności pozwala na przekazanie danych dłużnika, ale nie osób trzecich, które nie są związane z długiem. Sąd wskazał, że brak było podstawy prawnej do przetwarzania danych osobowych klienta w opisany sposób, co uzasadniało zastosowanie upomnienia przez PUODO. Skarga spółki została oddalona.
Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.
Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.
Wartość praktyczna
Siła precedensu: WysokaUzasadnienie dopuszczalności lub niedopuszczalności przetwarzania danych osobowych w kontekście cesji wierzytelności i umów telekomunikacyjnych. Interpretacja art. 6 ust. 1 lit. f RODO w specyficznych sytuacjach.
Orzeczenie dotyczy specyficznego stanu faktycznego, gdzie dane osoby niebędącej dłużnikiem zostały udostępnione w ramach cesji wierzytelności. Może być mniej bezpośrednio stosowalne w przypadkach, gdy dane dłużnika są przekazywane zgodnie z prawem.
Zagadnienia prawne (3)
Czy udostępnienie danych osobowych osoby trzeciej (niebędącej dłużnikiem) funduszowi w ramach cesji wierzytelności, gdzie dane te znajdują się w umowach cesji numerów telekomunikacyjnych, stanowi przetwarzanie danych zgodne z prawem na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO)?Ratio decidendi
Odpowiedź sądu
Nie, udostępnienie danych osobowych osoby, która nie jest dłużnikiem, w ramach cesji wierzytelności nie znajduje podstawy prawnej w RODO, w szczególności w art. 6 ust. 1 lit. f, ponieważ nie jest to niezbędne do dochodzenia należności od faktycznego dłużnika.
Uzasadnienie
Sąd uznał, że cesja wierzytelności pozwala na przekazanie danych dłużnika, ale nie osób trzecich, które nie są związane z długiem. Przekazanie danych osoby niebędącej dłużnikiem w ramach cesji wierzytelności nie jest niezbędne do realizacji celu windykacji i nie stanowi prawnie uzasadnionego interesu administratora.
Czy udostępnienie danych osobowych osoby trzeciej w dokumentach cesji wierzytelności, które są integralną częścią umów cesji numerów telekomunikacyjnych, może być uzasadnione jako prawnie uzasadniony interes administratora?Ratio decidendi
Odpowiedź sądu
Nie, nawet jeśli dane znajdują się w dokumentach związanych z cesją wierzytelności, ich udostępnienie osobie trzeciej, która nie jest dłużnikiem, nie jest uzasadnione, jeśli nie jest niezbędne do realizacji celu cesji.
Uzasadnienie
Sąd podkreślił, że kluczowe jest ustalenie, czy przetwarzanie danych jest niezbędne do celu, jakim jest dochodzenie wierzytelności. Dane osoby niebędącej dłużnikiem nie są niezbędne do tego celu, nawet jeśli znajdują się w dokumentach związanych z cesją wierzytelności.
Czy organ ochrony danych osobowych prawidłowo zastosował upomnienie jako środek sankcji za naruszenie przepisów RODO polegające na udostępnieniu danych osobowych bez podstawy prawnej?Ratio decidendi
Odpowiedź sądu
Tak, organ prawidłowo zastosował upomnienie jako najłagodniejszą z możliwych sankcji za stwierdzone naruszenie przepisów o ochronie danych osobowych.
Uzasadnienie
Sąd uznał, że organ wskazał podstawę prawną zastosowanej sankcji (art. 58 ust. 2 lit. b RODO) i że upomnienie było właściwym środkiem w tej sytuacji.
Przepisy (19)
Główne
P.p.s.a. art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi
RODO art. 6 § 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Przetwarzanie jest zgodne z prawem tylko, gdy spełniony jest co najmniej jeden z warunków (lit. a-f). W tej sprawie kluczowe było ustalenie, czy przetwarzanie danych osoby niebędącej dłużnikiem w ramach cesji wierzytelności było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (lit. f).
Pomocnicze
P.p.s.a. art. 200
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi
k.p.a. art. 7
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
k.p.a. art. 77 § 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
k.p.a. art. 107 § 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
k.p.a. art. 107 § 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
k.p.a. art. 107 § 2
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
RODO art. 5 § 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty (lit. a), zbierane w konkretnych celach i nieprzetwarzane dalej niezgodnie z nimi (lit. b), ograniczone do tego, co niezbędne (minimalizacja danych, lit. c), prawidłowe (lit. d), przechowywane w formie umożliwiającej identyfikację przez czas niezbędny (lit. e), przetwarzane w sposób zapewniający bezpieczeństwo (integralność i poufność, lit. f).
RODO art. 58 § 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Organ nadzorczy może nałożyć na administratora lub podmiot przetwarzający środki zaradcze, w tym m.in. udzielenie upomnienia (lit. b).
k.c. art. 509 § 1
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny
Wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, postanowieniu umowy albo wynikałoby z właściwości zobowiązania.
k.c. art. 509 § 2
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny
Wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, w tym prawo do dysponowania danymi osobowymi dłużnika w celu realizacji długu.
Pt art. 161
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Pt art. 180a
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Pt art. 105-108
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
u.o.d.o. art. 23 § 1
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych
u.o.d.o.
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych
OP art. 86
Ustawa z dnia 29 sierpnia 1997 r. Ordynacja podatkowa
OP art. 70
Ustawa z dnia 29 sierpnia 1997 r. Ordynacja podatkowa
Argumenty
Skuteczne argumenty
Udostępnienie danych osobowych osoby niebędącej dłużnikiem w ramach cesji wierzytelności nie ma podstawy prawnej w RODO. • Przetwarzanie danych osobowych musi być niezbędne do realizacji celu, jakim jest dochodzenie wierzytelności. • Dane osoby trzeciej niebędącej dłużnikiem nie są niezbędne do windykacji należności od faktycznego dłużnika.
Odrzucone argumenty
Dane osobowe były integralną częścią umów cesji numerów telekomunikacyjnych, które z kolei były związane z cesją wierzytelności, co uzasadniało ich udostępnienie. • Brak możliwości anonimizacji części dokumentu cesji wierzytelności bez naruszenia interesu dostawcy usług telekomunikacyjnych. • Organ nie wykazał podstawy prawnej do nałożenia upomnienia.
Godne uwagi sformułowania
dane osobowe osoby innej niż dłużnik, nie stanowiły w realiach niniejszej sprawy danych, których przetwarzanie było niezbędne w związku z dokonaniem cesji wierzytelności. • Przekazanie danych osobowych dłużników firmom windykacyjnym może nastąpić bez ich zgody, nie naruszając przy tym ochrony danych osobowych. • brak jego danych osobowych nie mógł doprowadzić do szkody na rzecz [...] poprzez brak możliwości dochodzenia roszczeń poprzez sprzedaż wierzytelności.
Skład orzekający
Ewa Marcinkowska
przewodniczący
Andrzej Góraj
sędzia
Dorota Kozub-Marciniak
sprawozdawca
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Uzasadnienie dopuszczalności lub niedopuszczalności przetwarzania danych osobowych w kontekście cesji wierzytelności i umów telekomunikacyjnych. Interpretacja art. 6 ust. 1 lit. f RODO w specyficznych sytuacjach."
Ograniczenia: Orzeczenie dotyczy specyficznego stanu faktycznego, gdzie dane osoby niebędącej dłużnikiem zostały udostępnione w ramach cesji wierzytelności. Może być mniej bezpośrednio stosowalne w przypadkach, gdy dane dłużnika są przekazywane zgodnie z prawem.
Wartość merytoryczna
Ocena: 7/10
Sprawa dotyczy powszechnego zagadnienia ochrony danych osobowych w kontekście obrotu wierzytelnościami i umów telekomunikacyjnych, co jest istotne dla wielu firm i konsumentów.
“Czy Twoje dane mogą być przekazane w ramach cesji wierzytelności, nawet jeśli nie jesteś dłużnikiem? WSA wyjaśnia.”
Sektor
telekomunikacja
Twój asystent do analizy prawnej.
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka 1,4 mln orzeczeń i aktualne akty prawne.
- Analiza orzecznictwa i przepisów
- Drafting pism i dokumentów
- Odpowiedzi na pytania prawne
- Pogłębiona analiza z doktryny
Pełny tekst orzeczenia
Oryginalna treść postanowienia (niezmieniona). Otwiera się jako osobna strona.