NSA uznał, że przekazanie funduszowi inwestycyjnemu danych osobowych osoby niebędącej dłużnikiem w ramach cesji wierzytelności stanowi naruszenie zasad przetwarzania danych osobowych określonych w RODO

W tej sprawie prezes Urzędu Ochrony Danych Osobowych udzielił spółce upomnienia w związku z przekazaniem funduszowi inwestycyjnemu danych osoby, która nie była dłużnikiem objętym cesją wierzytelności. Przekazane dane osobowe dotyczyły poprzedniego abonenta, który dokonał przeniesienia numeru telefonu na dłużnika, a sama wierzytelność wynikała ze świadczenia usług telekomunikacyjnych już po przeniesieniu numeru.

NSA wskazał, że wraz z wierzytelnością na podstawie art. 509 § 2 Kodeksu cywilnego przechodzą na nabywcę wszelkie prawa związane z wierzytelnością, w tym możliwość przetwarzania danych osobowych dłużnika w zakresie niezbędnym do dochodzenia należności. Cesjonariusz staje się administratorem danych osobowych dłużnika i może przetwarzać je na podstawie art. 6 ust. 1 lit. f RODO jako realizujący prawnie uzasadniony interes polegający na windykacji wierzytelności.

NSA podkreślił jednak, że uprawnienie to obejmuje wyłącznie dane osobowe osób pozostających w relacji prawnej związanej z dochodzoną wierzytelnością. Przekazanie danych osoby, która nie była dłużnikiem, nie było niezbędne ani do zawarcia umowy cesji wierzytelności, ani do dochodzenia należności przez fundusz inwestycyjny.

NSA wyjaśnił, że ocena dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga ustalenia, czy pomiędzy administratorem danych a osobą, której dane dotyczą, istnieje relacja uzasadniająca takie przetwarzanie. Jeżeli z charakteru tej relacji nie wynika konieczność przetwarzania danych dla realizacji prawnie usprawiedliwionego celu administratora, przesłanka z art. 6 ust. 1 lit. f RODO nie znajduje zastosowania.

W ocenie NSA taka relacja nie zachodzi pomiędzy funduszem inwestycyjnym a osobą, której dane przekazano wraz z dokumentacją dotyczącą przeniesienia numeru telefonu. Dane tej osoby, niebędącej dłużnikiem, nie są konieczne do identyfikacji wierzytelności ani do prowadzenia działań windykacyjnych wobec rzeczywistego dłużnika.

NSA III OSK 2346/25