Dokonywanie czynności windykacyjnych wymaga przetwarzania danych osobowych dłużników będących osobami fizycznymi. Nie oznacza to jednak, że trzeba uzyskiwać odrębną zgodę dłużnika na przekazanie jego danych firmom windykacyjnym. Należy jednak dopełnić formalności związanych z powierzeniem przetwarzania danych podmiotom trzecim.
Odrębna zgoda niepotrzebna
Informacje na temat zadłużenia osób fizycznych są danymi osobowymi i podlegają ochronie. Podejmowanie czynności windykacyjnych wobec dłużnika wymagających przetwarzania jego danych osobowych, w tym wysyłanie do dłużnika wezwań do zapłaty, nie wymaga odrębnej zgody dłużnika na ich przetwarzanie. Przetwarzanie danych, bez konieczności uzyskiwania zgody osoby zainteresowanej jest dopuszczalne m.in. wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel w rozumieniu tego przepisu uważa się m.in. dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 1 pkt 5 i art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych).
Sprzedaż długów a dane osobowe
Część wierzycieli decyduje się na sprzedaż długów firmom windykacyjnym. Wymaga to oczywiście przekazania nabywcy informacji o danych osobowych dłużnika. Zawarcie umowy przelewu wierzytelności nie wymaga zgody dłużnika (chyba że w umowie z dłużnikiem wprowadzono wymóg uzyskania takiej zgody). Skoro bez zgody dłużnika można sprzedać przysługującą wobec niego wierzytelność, można też przekazać jego dane osobowe nabywcy wierzytelności. W takim przypadku przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczyły i jest uzasadnione prawnie usprawiedliwionym celem realizowanym przez administratora danych.
Powierzenie przetwarzania danych
Jeśli czynności windykacyjne są podejmowane w imieniu wierzyciela przez podmiot zewnętrzny, np. firmę windykacyjną, i w związku z tym następuje przekazanie danych osobowych dłużników temu podmiotowi, należy z nim zawrzeć umowę o powierzenie przetwarzania danych. Administrator danych może powierzyć innemu podmiotowi przetwarzanie danych, w drodze umowy zawartej na piśmie. Pozwala na to art. 31 ustawy o ochronie danych osobowych. W takiej umowie muszą się znaleźć postanowienia dotyczące zakresu danych osobowych (ich rodzaju) i celu przetwarzania danych (do czego są przeznaczone). Podmiot, któremu powierzono przetwarzanie danych, może je wykorzystywać tylko i wyłącznie w zakresie i celu wskazanym w umowie.
Podmiot, któremu powierzono przetwarzanie danych osobowych (np. firma windykacyjna) nie staje się ich administratorem. Administratorem jest nadal podmiot, który powierzył dane do przetwarzania i to on nadal odpowiada za przestrzeganie ustawy o ochronie danych osobowych. Podmiot, któremu powierzono dane do przetwarzania, ma natomiast obowiązki związane z zabezpieczeniem danych i prowadzeniem dokumentacji.
List zwykły czy polecony?
Pisma do dłużników z wezwaniem do zapłaty zawierają dane osobowe, w tym o wysokości zadłużenia konkretnej osoby. Pojawiają się wątpliwości, czy w związku z tym należy je obowiązkowo wysłać listem poleconym, czy też można je wysłać zwykłym listem. Z punktu widzenia ustawy o ochronie danych osobowych wysłanie korespondencji zawierającej dane osobowe dłużnika listem zwykłym jest prawidłowe.
WSA w Warszawie stwierdził, że "nie ma obowiązku przesyłania listami poleconymi korespondencji zawierającej dane osobowe. Generalny Inspektor Ochrony Danych Osobowych, a tym bardziej sąd, nie mogą nakazać tego typu środków, które zabezpieczałyby dane" (wyrok z dnia 17 czerwca 2004 r., sygn. akt II SA/Wa 735/2004). W uzasadnieniu wyroku WSA podkreślił, że z ustawy o ochronie danych osobowych nie wynika, jakie środki zabezpieczenia danych mają być zastosowane i wskazał, że trzeba zapewnić ochronę. Przy czym przesyłka w formie listu zwykłego stanowi taką ochronę.
Przekazanie danych osobowych dłużnika firmie windykacyjnej nie wymaga zgody dłużnika.
Wysłanie wezwania do zapłaty listem poleconym może się natomiast okazać konieczne na potrzeby ewentualnego postępowania sądowego, jako dowód na to, że pozwany został przed procesem wezwany do dobrowolnego spełnienia świadczenia.
Informacje na kopercie
Wysyłając do dłużników korespondencję należy pamiętać o tym, aby na kopercie umieścić jedynie te dane osobowe, które są niezbędne do dostarczenia korespondencji. Nie można więc na kopercie zamieszczać np. pieczęci "wezwanie do zapłaty", "windykacja", tytułować adresata "dłużnik Jan Kowalski" itp. Informacja, że konkretna osoba jest dłużnikiem nie jest potrzebna do doręczenia korespondencji, zatem jej ujawnienie na kopercie (z którą mogą zapoznać się inne niż adresat osoby) jest naruszeniem obowiązku zabezpieczenia danych przed ich udostępnieniem osobom nieupoważnionym.
Odpowiedzialność za naruszenie przepisów
Administrator danych osobowych ponosi odpowiedzialność, w tym karną, za naruszenie obowiązków wynikających z ustawy. Przede wszystkim chodzi tu o przypadki nienależytego zabezpieczenia danych. Administrator danych jest obowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności powinien zabezpieczyć dane m.in. przed ich udostępnieniem osobom nieupoważnionym.
W przypadku danych przetwarzanych przez przedsiębiorców, administratorem danych osobowych jest przedsiębiorca, a nie pracownik. Jeśli więc w wyniku błędu pracownika doszło do nieuprawnionego udostępnienia danych, nie zwalnia to administratora z odpowiedzialności za niewłaściwą ochronę przetwarzanych danych osobowych.
Podstawa prawna
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.)
| ||||||||||||
|
||||||||||||
